postgresql触发器中不能直接拼接表名或列名，因为sql语句在函数定义时即被解析和计划，变量无法作为对象名使用；必须用execute配合format('%i', name)安全转义标识符，避免sql注入。
为什么不能直接在触发器里拼接表名或列名
PostgreSQL 的触发器函数里，EXECUTE 执行动态 SQL 时，表名、列名这类标识符不能像参数一样用 USING 绑定——它们属于“结构部分”，必须拼进字符串。但直接拼接字符串有 SQL 注入风险，尤其当触发器要适配不同表时，TG_TABLE_NAME 或用户传入的字段名若含恶意内容（比如 users; DROP TABLE accounts;），就会出事。
安全做法是用 format() 配合 %I 占位符：它会自动加双引号并转义，把任意输入当作合法标识符处理。
-
%I用于表名、列名、模式名等标识符（如format('SELECT %I FROM %I', 'name', TG_TABLE_NAME)） -
%L用于字面值（如字符串、数字），等价于quote_literal() - 永远不要用
||拼接TG_TABLE_NAME或NEW.column_name这类变量
如何让一个触发器函数适配多张表的 INSERT/UPDATE 日志记录
通用日志触发器的关键是读取 tg_table_name 和 tg_table_schema，再用 hstore(record) 或 jsonb(record) 抓取整行数据。但注意：hstore 不支持数组和复合类型，而 to_jsonb(NEW) 更健壮，且 PostgreSQL 9.4+ 原生支持。
实操建议：
- 用
tg_op = 'INSERT'或'UPDATE'区分操作类型，避免在 DELETE 里误读NEW - 日志表必须预先建好，字段如
table_name TEXT,op_type TEXT,row_data JSONB,changed_at TIMESTAMPTZ DEFAULT NOW() - 执行动态插入前，先用
format('INSERT INTO audit_log (table_name, op_type, row_data) VALUES (%L, %L, %L)', TG_TABLE_NAME, TG_OP, to_jsonb(NEW))构造语句，再EXECUTE - 如果只记录变更字段（比如 UPDATE 时只存
OLD和NEW的 diff），得用jsonb_diff()自定义函数，原生不提供
动态 SQL 中怎么安全引用 NEW/OLD 字段值
不能写 EXECUTE 'INSERT INTO log VALUES (' || NEW.id || ')' ——这既不安全也不兼容 NULL 和字符串类型。正确方式是结合 USING 和占位符：
EXECUTE format('INSERT INTO %I (table_name, op, ts) VALUES ($1, $2, $3)', 'audit_log')
USING TG_TABLE_NAME, TG_OP, NOW();
这里 $1, $2, $3 是运行时参数，由 USING 绑定，PostgreSQL 自动处理类型转换和 NULL。
-
NEW和OLD是记录类型，不能直接USING；需先转成jsonb或提取具体字段（如NEW.created_at） - 若需动态取某个字段（比如配置化地指定审计字段），用
format('SELECT %I FROM %I WHERE ctid = $1', field_name, TG_TABLE_NAME)+USING查询，而不是拼值 - 触发器里禁止对
NEW赋值后再RETURN NEW—— 动态修改字段要用EXECUTE+SELECT INTO，但性能差，慎用
为什么 RETURNING 子句在动态 EXECUTE 里不生效
PostgreSQL 的 EXECUTE ... RETURNING 语法只在 14+ 版本支持，且必须配合 INTO 或 RETURN QUERY 才能拿到结果。老版本（如 12/13）执行 EXECUTE 'INSERT ... RETURNING id' USING ... 会报错 ERROR: RETURNING not supported for dynamic queries。
绕过方案：
- 升级到 PG 14+，并用
EXECUTE 'INSERT INTO ... RETURNING id' INTO v_id USING ... - 降级兼容：先
INSERT，再用SELECT LASTVAL()（仅限序列）或SELECT id FROM ... WHERE ctid = $1（需保存NEW.ctid） - 更稳妥的是放弃 RETURNING，在触发器外用应用层逻辑处理生成值，触发器只做副作用（如日志、校验）
动态触发器最难的不是写法，而是搞清哪些东西必须拼、哪些必须绑、哪些根本不能碰——比如 ctid 可以安全用于定位行，但 tableoid 在分区表里可能跨子表失效，这种细节容易被忽略。
