sql server中exec拼接表名建表报错，因变量作用域不穿透字符串边界，需将变量值拼入字符串并用方括号包裹表名，推荐后续操作改用sp_executesql参数化防注入。
SQL Server里用EXEC拼接表名建表会报错：必须声明标量变量
直接写 EXEC('CREATE TABLE '+ @table_name +' (id INT)') 看似合理，但 SQL Server 会把整个字符串当静态语句解析，遇到未声明的 @table_name 就抛出“必须声明标量变量”错误。根本原因是变量作用域不穿透字符串边界——EXEC 执行的是新上下文，原存储过程里的变量不可见。
解决方法只有一条路：先把变量值拼进字符串，再执行。但要注意引号嵌套和 SQL 注入风险：
- 用两个单引号
''转义字符串内的单引号，比如表名含撇号时：REPLACE(@table_name, '''', '''''') - 表名不能是纯数字或含特殊字符，必须用方括号包裹：
'[' + @table_name + ']' - 别用
EXECUTE简写成EXEC后跟变量——那是老语法，易混淆；统一用EXEC sp_executesql更安全（见下一条）
为什么推荐sp_executesql而不是EXEC
sp_executesql 支持参数化，能避免拼接字符串带来的 SQL 注入，也更利于执行计划缓存。虽然建表语句本身无法参数化表名（DDL 不支持参数），但至少后续的 INSERT/SELECT 可以复用同一套参数机制，整体结构更统一。
建表阶段仍需拼接，但后续操作可立即切换为安全参数模式：
DECLARE @sql NVARCHAR(MAX) = N'CREATE TABLE [' + @table_name + '] (id INT, name NVARCHAR(50));'; EXEC sp_executesql @sql;
如果紧接着要插入数据，就该用参数化：
SET @sql = N'INSERT INTO [' + @table_name + '] (id, name) VALUES (@id, @name);'; EXEC sp_executesql @sql, N'@id INT, @name NVARCHAR(50)', @id = 123, @name = N'test';
MySQL 或 PostgreSQL 怎么办：没有sp_executesql对应物
MySQL 用 PREPARE + EXECUTE 组合，但变量不能直接进表名，仍需拼接：
SET @sql = CONCAT('CREATE TABLE `', @table_name, '` (id INT)');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
PostgreSQL 更严格：必须用 EXECUTE + format()，且表名要用 %I 占位符自动加双引号（防注入、兼容大小写）：
EXECUTE format('CREATE TABLE %I (id INT)', table_name);
注意：format() 是 PostgreSQL 9.1+ 特性，低版本只能靠 quote_ident() 手动处理标识符。
动态建表后立刻查不到新表？检查作用域和延迟编译
在存储过程中建完表马上 SELECT * FROM [@table_name] 报“对象名无效”，不是权限问题，而是 SQL Server 的延迟对象解析（deferred name resolution）没覆盖动态创建的表——编译阶段它还不存在。
必须把后续操作也包进动态 SQL 中：
- 不能分两步：
EXEC(...CREATE...)然后SELECT... - 必须合并：
EXEC('CREATE TABLE ...; SELECT * FROM ...;') - 或者用
sp_executesql执行多语句，但注意分号分隔、无返回结果集限制
另外，临时表（#tmp）在动态 SQL 里创建后，当前会话能访问；但全局临时表（##tmp）或永久表，需确认执行用户有 DDL 权限，且数据库选项 RECURSIVE_TRIGGERS 不影响建表链路。
