MySQL存储过程动态SQL必须走PREPARE→EXECUTE→DEALLOCATE完整链路，PREPARE仅接受用户变量@sql，表名列名须白名单校验后拼接，?仅替换值不能替换标识符。
MySQL存储过程里动态拼SQL，必须走 PREPARE + EXECUTE 这条路，没别的捷径。直接 SET @sql = '...'; EXECUTE @sql; 会报 Unknown prepared statement 或 Incorrect arguments to EXECUTE —— 因为 EXECUTE 只认句柄（比如 stmt），不认字符串变量。
PREPARE 之前必须拼好完整 SQL 字符串
拼接用 CONCAT()，但要注意：表名、列名、ORDER BY 字段、LIMIT 偏移量这些标识符不能用 ? 占位，只能硬拼进 @sql。这意味着你得自己校验合法性，否则就是 SQL 注入入口。
- 别信用户传来的
table_name参数，先查INFORMATION_SCHEMA.TABLES确认它真实存在且属于当前库 - 列名同理，查
INFORMATION_SCHEMA.COLUMNS，或白名单过滤（比如只允许'id','name','status'） -
CONCAT()拼接时漏单引号、多空格、少空格都会让最终语句语法错误，建议拼完后SELECT @sql;打印出来人工核对一次 - 字符集要统一，尤其拼接含中文的字段值时，确保
@sql变量是utf8mb4编码，否则可能乱码或截断
USING 传参只适用于值，且变量必须带 @
WHERE 条件里的值、INSERT 的字段值，优先用 USING 绑定，MySQL 自动转义，比拼字符串安全得多。但有几个硬约束：
-
USING后面的变量必须是用户变量（@var），不能直接写存储过程参数（如p_id），得先赋值：SET @id := p_id; - 占位符
?个数必须和USING后变量个数严格一致，多一个少一个都报错 - 如果
@val是NULL，生成的条件是column IS NULL，不是column = NULL—— 这个逻辑差异常被忽略 - 不能用
USING传表名、列名、函数名、排序方向（ASC/DESC），这些还是得拼进@sql
句柄命名和 DEALLOCATE 的实际影响
PREPARE stmt FROM @sql 中的 stmt 是句柄名，不是变量。它只在当前会话有效，且重复 PREPARE stmt 会覆盖前一个，不报错也不警告。
- 不需要每次执行后都
DEALLOCATE PREPARE stmt—— 不释放也不会内存泄漏，MySQL 会话结束自动清理 - 但如果存储过程里有多个分支（比如
IF ... THEN ... ELSE），每个分支都PREPARE stmt，那后面EXECUTE stmt可能执行的是上一个分支准备的旧语句，导致结果错乱 - 更稳妥的做法是动态命名句柄：
SET @stmt_name = CONCAT('stmt_', UNIX_TIMESTAMP()); PREPARE @stmt_name FROM @sql;，然后EXECUTE @stmt_name—— 但注意EXECUTE不支持变量句柄名，得用EXECUTE IMMEDIATE（MySQL 8.0.23+）或改用固定名 + 分支隔离
最易被忽略的点是：动态 SQL 的语法校验发生在 PREPARE 阶段，不是 EXECUTE。如果拼出的语句里表不存在、字段写错、括号不匹配，PREPARE 就直接报错中断，后续逻辑不会执行。所以调试时别只盯着 EXECUTE 报错，先确认 @sql 字符串本身能不能在客户端里直接跑通。
