mysql存储过程中不能直接用变量作列名，因标识符不支持参数化绑定，需拼接sql字符串后用prepare+execute执行；拼接前须校验列存在或白名单过滤以防sql注入。
MySQL 存储过程中不能直接用变量当列名
MySQL 的 SELECT、INSERT、GROUP BY 等语句中，列名、表名、数据库名这些标识符（identifier）不支持参数化绑定。哪怕你写成 SELECT @col_name FROM t，执行时也只会返回一个字面值字符串，不是真实字段。错误现象通常是查出 NULL 或报错 Unknown column '@col_name' in 'field list'。
根本原因是：MySQL 在预处理阶段就需解析语法结构，而变量值只在运行时才确定。所以必须拼接 SQL 字符串，再用 PREPARE + EXECUTE 执行。
- 只能对「值」用
?占位符（如WHERE id = ?），对「结构」（列名/表名/ORDER BY 字段）必须字符串拼接 - 拼接前务必用
INFORMATION_SCHEMA校验表/列是否存在，或用正则限制输入为字母数字下划线（如^[a-zA-Z0-9_]+$） - 别用
CONCAT('SELECT ', @col, ' FROM t')直接拼——如果@col来自用户输入且含单引号或注释，立刻触发 SQL 注入
动态拼接列名的典型模式：GROUP_CONCAT + 游标 or 子查询
常见需求如行转列、按不同维度聚合，列集合由数据决定（比如每个 subject 变成一列）。核心思路是先查出所有要生成的列名，拼成一段完整 SQL，再执行。
推荐用子查询 + GROUP_CONCAT，比游标简洁、性能更好。例如从 student_scores 表动态生成各科成绩列：
SET @sql = NULL;
SELECT GROUP_CONCAT(DISTINCT
CONCAT(
'MAX(CASE WHEN subject = ''',
subject,
''' THEN score END) AS `',
subject,
'`'
)
) INTO @sql
FROM student_scores
WHERE subject IS NOT NULL;
<p>SET @sql = CONCAT('SELECT name, ', @sql, ' FROM student_scores GROUP BY name');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;</p>
-
GROUP_CONCAT默认长度上限是 1024，超长会截断，务必提前设SET SESSION group_concat_max_len = 10000; - 字段别名用反引号包裹（
`），防止科目名含空格或关键字（如`order`） - 拼接时用双单引号
''转义字符串内的单引号，避免语法破坏
SQL Server 里用 QUOTENAME 防注入，但列名仍不能参数化
SQL Server 同样禁止 SELECT @col FROM t。区别在于它提供 QUOTENAME() 安全包裹标识符，比 MySQL 的手工校验更可靠。例如动态指定排序字段：
DECLARE @orderCol NVARCHAR(128) = 'name'; DECLARE @sql NVARCHAR(MAX); SET @sql = N'SELECT * FROM student_scores ORDER BY ' + QUOTENAME(@orderCol); EXEC sp_executesql @sql;
-
QUOTENAME('name')返回[name]，QUOTENAME('order')返回[order]，自动加方括号并转义 - 但
QUOTENAME不解决列名来源不可信的问题——如果@orderCol是用户传入且未过滤，仍可能拼出[name]; DROP TABLE student_scores-- - 真正安全的做法是：白名单校验（如
IF @orderCol NOT IN ('name', 'score', 'subject') RAISERROR...）+QUOTENAME双保险
动态列逻辑别塞进应用层，但得控制好执行范围
有人把列名列表查出来，在 Java/Python 里拼 SQL 再发给数据库。这看似绕开存储过程限制，实则更危险：网络传输明文、应用日志可能记下完整 SQL、连接池复用导致执行计划污染。
把动态拼接逻辑留在数据库内，至少能利用 INFORMATION_SCHEMA 校验、统一权限管控、语句复用（sp_executesql 可重用执行计划）。
- 避免在动态 SQL 中嵌套多层
EXEC或递归调用，MySQL 不支持，SQL Server 易栈溢出 - 动态生成的 SQL 长度超 4000 字符时，SQL Server 要用
NVARCHAR(MAX)，MySQL 要确认max_allowed_packet足够 - 最易被忽略的一点：动态 SQL 执行失败时，错误位置指向
EXEC行，而非实际出错的那条语句——调试时记得先PRINT @sql或SELECT @sql把最终字符串捞出来单独执行
