动态 SQL 从自定义@Column获取一个值到结果变量中

Question

我一直在努力实现这一目标，到目前为止，我搜索的有关该主题的任何内容都没有奏效。 我在存储过程中有以下代码：

DECLARE @sql NVARCHAR(500)
DECLARE @qty money
SET @sql = N'SELECT TOP 1 @qty = @QuantityColumnName FROM #TemporaryTable WHERE ID =  @Id'
EXEC sp_executesql @sql, N' @QuantityColumnName nvarchar(50),@Id bigint, @qty money OUTPUT', @QuantityColumnName = @QuantityColumnName, @Id = @Id, @qty = @qty OUTPUT;
//this does not execute

@Id帮助我遍历 #TemporaryTable 的地方，@QuantityColumnName是我的 nvarchar(50( 类型的过程的参数。#TemporaryTable 有 2 列，假设 Quantity1 和 Quantity2，根据某些逻辑，我将列名传递给此过程并在此处使用值：

UPDATE Stocks
SET Quantity = Quantity - @qty      
WHERE blabla

而这里

INSERT INTO Stocks(ArticleLotId, LocationId, Quantity, ReservedQuantity)
VALUES (@artLotId, @locId, @qty, 0)

无法评估错误消息"@qty"。

我什至尝试了另一种变体，也没有成功，我试图将结果存储在表中

--Extract and cast result from @QuantityColumnName
DECLARE @sql nvarchar(1000)
SET @sql = 'SELECT ' + @QuantityColumnName + ' FROM #TemporaryTable WHERE ID = @Id'
DECLARE @resultSql AS TABLE(col money)
INSERT INTO @resultSql EXECUTE sp_executesql @sql

并尝试像这样使用结果：

UPDATE Stocks
SET Quantity = Quantity - (SELECT col FROM @resultSQL)  
WHERE blabla

你能帮我解释一下我做错了什么吗？ 提前谢谢你！

Answer 1

不能参数化对象名称，必须安全地注入值。

这应该是你所追求的：

DECLARE @QuantityColumnName sysname = N'ColumnName'; --Correct datatype for object names
DECLARE @sql NVARCHAR(MAX);        
DECLARE @qty money;
SET @sql = N'SELECT TOP 1 @qty = ' + QUOTENAME(@QuantityColumnName) + N' FROM #temporaryTable WHERE ID =  @Id;'
EXEC sp_executesql @sql, N' ,@Id bigint, @qty money OUTPUT', @Id = @Id, @qty = @qty OUTPUT;