sql server的pivot语法不支持动态列名，必须用动态sql实现：先用string_agg与quotename安全拼接列名，再通过sp_executesql执行；需过滤null、显式分组、参数化传值，并注意权限与缓存。
为什么不能直接写死PIVOT的列名
因为业务中分类字段（比如 product_type、status）的取值不固定，硬编码 IN ('A','B','C') 会导致每次新增类别都要改SQL，维护成本高，还容易漏同步。SQL Server 的 PIVOT 语法本身不支持子查询或变量作为列列表，所以必须用动态SQL绕过这个限制。
怎么安全拼出可执行的动态PIVOT语句
核心是两步：先查出所有要转成列的值，再把它们拼进 IN 子句；最后用 EXEC sp_executesql 执行。注意三点：
- 必须用
QUOTENAME()包裹每个列值，防止SQL注入或含空格/特殊字符导致语法错误（比如'New York'→[New York]） - 拼接时用
STRING_AGG()（SQL Server 2017+）或FOR XML PATH（旧版本），避免末尾多逗号 - 聚合字段（如
SUM(sales)）和分组字段（如region）必须在动态语句里显式写出，不能靠外部变量代入
示例片段：
DECLARE @cols NVARCHAR(MAX)
SELECT @cols = STRING_AGG(QUOTENAME(type_name), ',')
FROM (SELECT DISTINCT type_name FROM sales_data) AS t
<p>DECLARE @sql NVARCHAR(MAX) = N'
SELECT * FROM (
SELECT region, type_name, amount
FROM sales_data
) src
PIVOT (SUM(amount) FOR type_name IN (' + @cols + N')) pvt'</p><p>EXEC sp_executesql @sql</p>
遇到“无效的列名”或“未声明的变量”报错怎么办
这类错误几乎全是字符串拼接阶段的问题：
-
Invalid column name：说明@cols拼出来的列名没加方括号，或者源数据里有空值/NULL被当列名用了（加WHERE type_name IS NOT NULL过滤） -
Must declare the scalar variable：动态SQL里直接用了外部变量名（如@region），但没通过sp_executesql的参数机制传入——得改用参数化方式，不能字符串拼接变量值 - 结果列顺序乱、缺列：检查
STRING_AGG是否加了ORDER BY（默认无序），列名重复时DISTINCT不够，需用GROUP BY去重
动态PIVOT在视图或存储过程中怎么复用
不能直接把动态SQL塞进视图（视图不支持EXEC），但可以封装成存储过程，并允许传入关键参数：
- 接受表名或CTE定义作为字符串参数（需校验白名单，禁止任意表名）
- 用
OUTPUT参数返回列名列表，方便调用方做后续处理 - 性能敏感场景下，避免在高频查询里反复执行动态拼接——可缓存列名结果到临时表，设置TTL或依赖变更触发刷新
最常被忽略的是权限问题：sp_executesql 执行时以调用者上下文运行，如果存储过程用 EXECUTE AS 切换身份，动态SQL里的对象访问权限也按新身份校验，容易静默失败。
