动态sql语句基本语法

动态SQL语句是一种根据运行时条件动态生成的SQL语句。它给数据库编程带来了更大的灵活性和可扩展性。下面是动态SQL语句的基本语法：

1. 拼接字符串方式：

   DECLARE @sqlStatement NVARCHAR(MAX);

   SET @sqlStatement = 'SELECT * FROM tableName WHERE condition = ' + @variable;

   EXEC sp_executesql @sqlStatement;

2. 使用参数化查询：

   DECLARE @sqlStatement NVARCHAR(MAX);
   DECLARE @paramDefinition NVARCHAR(MAX);
   DECLARE @variable INT;

   SET @sqlStatement = 'SELECT * FROM tableName WHERE condition = @param';
   SET @paramDefinition = '@param INT';

   EXEC sp_executesql @sqlStatement, @paramDefinition, @param = @variable;

3. 使用IF语句控制逻辑：

   DECLARE @sqlStatement NVARCHAR(MAX);
   DECLARE @variable INT;
   DECLARE @condition NVARCHAR(50);

   SET @condition = 'condition = ' + CAST(@variable AS NVARCHAR);

   IF (@variable IS NULL)
   BEGIN
       SET @sqlStatement = 'SELECT * FROM tableName';
   END
   ELSE
   BEGIN
       SET @sqlStatement = 'SELECT * FROM tableName WHERE ' + @condition;
   END

   EXEC sp_executesql @sqlStatement;

需要注意的是，动态SQL语句潜在的安全风险，因为用户输入可以被恶意利用。为了避免SQL注入攻击，应使用参数化查询，并对用户输入进行验证和过滤。