最危险的是直接拼字符串+exec(@sql)，必须用参数化+动态结构拼接共存：sql server用sp_executesql传参，mysql用prepare+execute using按序绑定，postgresql用format()+using且字段名须白名单校验，同时需规避索引失效与参数嗅探问题。
直接拼字符串 + EXEC(@sql) 是最危险的快捷方式，SQL 注入、执行计划失效、单引号转义崩溃（比如传入 O'Connor）全都会发生。必须用参数化 + 动态结构拼接，不是二选一，是必须共存。
SQL Server 必须用 sp_executesql 拼结构、传参数
所有可选字段（如 @user_id、@status、@start_date）都声明为输入参数，默认允许 NULL；拼 SQL 时只加条件骨架，不塞值：
IF @user_id IS NOT NULL SET @sql += ' AND user_id = @user_id_param'IF @status IS NOT NULL SET @sql += ' AND status = @status_param'- 最后调用
sp_executesql @sql, N'@user_id_param INT, @status_param VARCHAR(20)', @user_id_param = @user_id, @status_param = @status - 注意：即使某个参数没拼进
@sql，只要它出现在参数定义字符串里，就必须传值——否则报错Must declare the scalar variable
MySQL 用 PREPARE + EXECUTE ... USING 绕过无参数列表限制
MySQL 不支持像 SQL Server 那样把参数类型和名字一起声明，但可以用 ? 占位符 + 严格顺序绑定：
- 每个条件单独判断：
IF in_user_id IS NOT NULL THEN SET @sql = CONCAT(@sql, ' AND user_id = ?'); - 所有非
NULL参数按?出现顺序收集到变量列表，例如：SET @params = CONCAT(@params, IF(in_user_id IS NOT NULL, '@user_id,', ''), IF(in_status IS NOT NULL, '@status,', '')); - 执行时顺序必须完全一致：
EXECUTE stmt USING @user_id, @status, @start_time; - 绝对不要写
CONCAT('WHERE name = ''', in_name, '''')——输入含单引号或 SQL 片段就直接崩
PostgreSQL 用 format() + USING，字段名必须白名单校验
值能参数化，字段名不能。所以字段名拼接前必须硬编码校验，不能由用户输入直接代入：
- 错误写法：
EXECUTE 'SELECT * FROM orders WHERE ' || in_field || ' = $1' USING in_value;——in_field若为'; DROP TABLE orders; --就完蛋 - 正确做法：用
CASE或IF显式限定合法字段：IF in_filter_type = 'status' THEN filter_sql := 'status = $1'; ELSIF in_filter_type = 'amount' THEN filter_sql := 'amount > $1'; END IF; - 再用
format()拼主句：EXECUTE format('SELECT * FROM orders WHERE %s', filter_sql) USING in_value; -
NULL条件默认跳过；空字符串建议先转成NULL再判断，避免'' = NULL永远为 false
所有数据库都绕不开的隐性坑：索引失效与参数嗅探
哪怕语法和安全都对了，查询也可能慢得离谱——因为优化器根本没走索引：
- 写成
WHERE (@name IS NULL OR name = @name)看似简洁，但 SQL Server 常放弃索引走全表扫描，尤其当@name为NULL时 - 高基数字段（如主键、唯一标识）可用
AND (@id IS NULL OR id = @id)+OPTION (RECOMPILE) - 低基数字段（如
status）或范围条件（如created_date BETWEEN）建议拆分支IF，别堆在一条语句里 -
OPTION (RECOMPILE)不是万能膏药，只在参数分布极不均匀（查 10 行 vs 查 10 万行）且响应时间敏感时启用
动态 WHERE 的核心从来不是“怎么拼”，而是“怎么让数据库既安全又高效地执行它”——结构拼对了，参数传对了，字段名校验了，最后还得看执行计划有没有被带偏。这点最容易被忽略，也最难调试。
