MySQL存储过程如何动态构建SQL语句_PREPARE语句使用教程-mysql教程-PHP中文网

mysql动态sql必须用prepare+execute，不能直接执行拼接字符串；prepare仅编译校验，execute才执行；需显式deallocate或动态命名避免句柄冲突；using传参更安全但仅支持值替换，表名列名等须拼接并校验字符集。

mysql存储过程如何动态构建sql语句_prepare语句使用教程

MySQL动态SQL必须用`PREPARE` + `EXECUTE`，没有“字符串拼接完直接执行”这回事

MySQL不允许把拼好的SQL字符串当语句直接运行，比如SET @sql = 'SELECT * FROM users WHERE id = 1'; EXECUTE @sql;会报错——EXECUTE只认预处理语句句柄，不认字符串变量。必须走PREPARE stmt_name FROM @sql这一步，把字符串编译成可执行的stmt对象。

PREPARE不是执行，只是语法检查+计划缓存，失败时抛错（如表不存在、字段名错）
同一个stmt_name重复PREPARE会覆盖前一个，不用手动DEALLOCATE也能重用
不能在PREPARE里直接用存储过程参数，得先拼进@sql字符串，或用USING传参（见下一条）

用`USING`传参比拼接更安全，但只支持`IN`参数且不能传表名/列名

拼接@sql字符串时手抖漏个单引号，或者用户输入带'，立刻SQL注入。用USING能把值当参数绑定，MySQL自动转义：

SET @sql = 'SELECT * FROM users WHERE status = ? AND created_at > ?';
PREPARE stmt FROM @sql;
EXECUTE stmt USING @status, @min_time;

但注意：?只能替换值（WHERE右边、ORDER BY里的数字），不能换表名、列名、ORDER BY字段名、LIMIT偏移量——这些必须拼进@sql字符串，且要自己校验合法性。

传参类型由变量值决定，SET @x = 123和SET @x = '123'生成的占位符行为不同
USING后变量名必须带@，且不能是存储过程参数名（如p_id），得先赋值给用户变量@id := p_id
如果USING的变量为NULL，对应位置会变成IS NULL而非= NULL，逻辑可能意外

`PREPARE`在存储过程中不能跨`IF`分支复用同名stmt，否则报`Unknown prepared statement`

看起来下面这段代码没问题：

MySQL

编写正确的MySQL查询，避免字符集、索引和锁方面的常见陷阱。

下载

IF p_type = 'user' THEN
  SET @sql = 'SELECT * FROM users';
ELSE
  SET @sql = 'SELECT * FROM orders';
END IF;
PREPARE stmt FROM @sql;
EXECUTE stmt;

但实际运行时，第二次调用（比如p_type从user变orders）会失败：MySQL认为stmt已存在，而PREPARE stmt FROM ...在已有同名stmt时不会隐式DEALLOCATE，反而报错。必须显式清理：

每次PREPARE前加IF EXISTS(SELECT 1 FROM INFORMATION_SCHEMA.PROCESSLIST WHERE ID = CONNECTION_ID()) THEN DEALLOCATE PREPARE stmt; END IF;太重——直接写DEALLOCATE PREPARE stmt;再PREPARE更干脆
更稳妥的做法是用动态stmt名：SET @stmt_name = CONCAT('stmt_', UNIX_TIMESTAMP()); PREPARE @stmt_name FROM @sql;，但EXECUTE不支持变量名，得用EXECUTE IMMEDIATE（MySQL 8.0.16+）或改用EXECUTE配合@stmt_name字符串（不推荐）
简单场景就老老实实每段分支都DEALLOCATE + PREPARE