MYSQL 存储过程 拼接SQL语句，然后执行拼接后的SQL语句

可以使用 CONCAT 函数来拼接 SQL 语句，并且使用 PREPARE 和 EXECUTE 语句来执行拼接后的 SQL 语句。

例如，假设需要在存储过程中拼接一个查询语句，该查询语句需要查询一个名为 customers 的表，其中包含 name 和 age 两个字段，查询年龄为 18 岁及以上的用户信息，可以使用以下存储过程：

DELIMITER //

CREATE PROCEDURE get_customers()
BEGIN
    DECLARE sql_query VARCHAR(255);
    SET sql_query = CONCAT('SELECT name, age FROM customers WHERE age >= ', 18);
    PREPARE stmt FROM sql_query;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END //

DELIMITER ;

在上面的存储过程中，首先声明一个名为 sql_query 的变量，使用 CONCAT 函数将查询语句拼接起来，并将拼接后的 SQL 语句存储到 sql_query 变量中。然后使用 PREPARE 语句准备执行该语句，并使用 EXECUTE 语句执行该语句。最后使用 DEALLOCATE PREPARE 释放 PREPARE 语句的内存。

需要注意的是，在拼接 SQL 语句时，应该使用参数化查询来避免 SQL 注入攻击。在参数化查询中，使用问号占位符代替具体的参数值，然后通过 EXECUTE 语句将参数值传递给查询语句。例如：

DELIMITER //

CREATE PROCEDURE get_customers_by_age(IN age INT)
BEGIN
    DECLARE sql_query VARCHAR(255);
    SET sql_query = CONCAT('SELECT name, age FROM customers WHERE age >= ?', age);
    PREPARE stmt FROM sql_query;
    EXECUTE stmt USING @age;
    DEALLOCATE PREPARE stmt;
END //

DELIMITER ;

在上面的存储过程中，使用 IN 参数 age 来代替查询语句中的参数值，并在 EXECUTE 语句中使用 USING 子句将参数值传递给查询语句。这样可以避免 SQL 注入攻击。