MySQL存储过程中不能直接用变量作列名，因标识符不支持参数化绑定，需拼接SQL字符串后用PREPARE+EXECUTE执行；拼接前须校验列存在或白名单过滤以防SQL注入。
MySQL 存储过程中不能直接用变量当列名
在MySQL里，如果你试图在SELECT、INSERT或者GROUP BY这类语句里，用一个变量来代表列名、表名这些标识符，结果往往会让人失望。即便你写成SELECT @col_name FROM t，数据库也不会把它理解成你要查询某个字段，它只会老老实实地返回那个变量里的字符串字面值。常见的报错就是Unknown column '@col_name' in 'field list'，或者干脆查出一堆NULL。
这背后的原因其实很直接：MySQL在准备执行一条语句时，需要先解析清楚语法结构，比如哪些是表、哪些是列。但变量的值呢？它得到真正运行时才能确定下来。这个时间差，就决定了“此路不通”。所以，唯一的办法就是把SQL语句当作字符串拼接起来，然后交给PREPARE和EXECUTE这对组合去动态执行。
- 记住一个原则：用
?占位符只能绑定“值”（比如WHERE id = ?），而对于“结构”（列名、表名、ORDER BY的字段），必须靠字符串拼接。 - 拼接之前，安全校验必不可少。要么通过查询
INFORMATION_SCHEMA系统表来确认列名确实存在，要么用正则表达式（比如^[a-zA-Z0-9_]+$）把输入严格限制在字母、数字和下划线范围内。 - 这里有个大坑：千万别图省事，直接用
CONCAT('SELECT ', @col, ' FROM t')。如果@col这个变量来自不可信的用户输入，里面夹带了单引号或者SQL注释符，一句拼接就直接打开了SQL注入的大门。
动态拼接列名的典型模式：GROUP_CONCAT + 游标 or 子查询
实际开发中，经常遇到一些列不固定的需求，比如把行数据转成列，或者按照动态变化的维度进行聚合。这时候，核心思路其实很清晰：先把所有需要生成的列名找出来，把它们拼成一段完整的、合法的SQL语句，然后再执行。
相比传统的游标循环，更推荐使用子查询配合GROUP_CONCAT函数的方法。它写起来更简洁，执行效率也通常更高。举个例子，假设有个student_scores表，我们要把每个科目（subject）动态地变成一列来展示成绩：
SET @sql = NULL;
SELECT GROUP_CONCAT(DISTINCT
CONCAT(
'MAX(CASE WHEN subject = ''',
subject,
''' THEN score END) AS `',
subject,
'`'
)) INTO @sql
FROM student_scores
WHERE subject IS NOT NULL;
SET @sql = CONCAT('SELECT name, ', @sql, ' FROM student_scores GROUP BY name');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
- 使用
GROUP_CONCAT时要注意，它默认有1024字节的长度限制，超出的部分会被直接截断。稳妥起见，最好事先执行一下SET SESSION group_concat_max_len = 10000;来调大这个上限。 - 给动态生成的字段起别名时，记得用反引号（
`）包起来。这能有效避免科目名里包含空格或者像order这样的SQL关键字时引发的语法错误。 - 拼接字符串时，如果字符串内部包含单引号，需要用两个单引号（
''）来进行转义，确保最终的SQL语法正确。
SQL Server 里用 QUOTENAME 防注入，但列名仍不能参数化
转到SQL Server这边，情况类似，同样不允许SELECT @col FROM t这种写法。不过，SQL Server提供了一个更趁手的工具：QUOTENAME()函数。它能安全地包裹标识符，比在MySQL里手动校验要省心不少。比如，你想动态指定一个排序字段：
DECLARE @orderCol NVARCHAR(128) = 'name'; DECLARE @sql NVARCHAR(MAX); SET @sql = N'SELECT * FROM student_scores ORDER BY ' + QUOTENAME(@orderCol); EXEC sp_executesql @sql;
QUOTENAME('name')会返回[name]，QUOTENAME('order')则返回[order]。它自动给标识符加上方括号，并处理好必要的转义。- 但是，
QUOTENAME并非万能。如果@orderCol这个变量本身来自未经过滤的用户输入，攻击者依然可能构造出像[name]; DROP TABLE student_scores--这样的危险字符串。 - 所以，真正安全的做法是双保险：先用白名单校验（例如
IF @orderCol NOT IN ('name', 'score', 'subject') RAISERROR...），确认是合法列名后，再用QUOTENAME进行包裹。
动态列逻辑别塞进应用层，但得控制好执行范围
有些方案会选择把动态拼接的逻辑上移到Ja va、Python等应用层代码里：先查数据库拿到列名列表，然后在应用内存里拼好完整的SQL，再发给数据库执行。这看似绕过了存储过程的限制，实则引入了更多风险：拼接的SQL可能在网络传输或应用日志中暴露；频繁变化的SQL语句还会污染数据库连接池中的执行计划缓存，影响性能。
将动态SQL的生成逻辑封装在数据库内部（存储过程或函数中），至少有这几个好处：可以直接利用INFORMATION_SCHEMA做校验；权限管控更集中；对于SQL Server，使用sp_executesql还能让执行计划得到复用。
- 要避免在动态SQL内部嵌套多层
EXEC或者递归调用，这在MySQL里通常不支持，在SQL Server里则容易导致栈溢出。 - 当动态拼接的SQL语句非常长时（超过4000字符），在SQL Server中需使用
NVARCHAR(MAX)类型，在MySQL中则需要确保max_allowed_packet参数设置得足够大。 - 还有一个调试时容易让人抓狂的点：当动态SQL执行出错时，错误信息指向的往往是
EXEC那一行，而不是实际出错的子语句。因此，调试的黄金法则是：先把最终拼接好的@sql变量内容PRINT或SELECT出来，单独拿到查询窗口里执行一下，问题往往就一目了然了。
