procdure执行任何“选择”命令

Question

我想创建可以在数据库中执行任何选择，并具有表名和列名和where子句作为输入参数

我怎么可以开发一个程序？

任何建议是非常感谢

Answer 1

作为考试练习，这是好的，但从来没有做这样的事情的，因为SQL Injection危险真实环境。

CREATE PROCEDURE QueryExecution (
    @columns varchar(200), 
    @tableName varchar(50), 
    @conditions varchar(200)) 
AS 
BEGIN 
    declare @query nvarchar(max); 
    set @query = 'SELECT ' + @columns + ' FROM ' + @tableName + ' WHERE ' + @conditions 
    exec sp_executesql @query 
END 

然后调用它像这样：

exec QueryExecution 'Id, Description', 'MyTable', 'Id > 5 AND Description LIKE ''%some text%''' 

注：如果您需要在您的字符串单引号，则必须写双份，比如你可以在LIKE子句中看到逃脱他们。