动态列必须用动态sql拼接实现，不能靠case表达式；sql server用sp_executesql执行拼接字符串，mysql用prepare/execute；需校验角色白名单、包裹特殊列名，并注意多结果集处理。
存储过程里不能用 CASE 动态选列
直接在 SELECT 里写 CASE WHEN @role = 'admin' THEN name ELSE NULL END AS name 这类写法，表面看“选了不同列”，实际返回的仍是固定列结构：所有字段都存在，只是部分值为 NULL。客户端或 ORM 仍会收到完整列定义，无法真正隐藏字段。
动态列必须靠拼接 SQL 字符串实现
真正按角色返回不同字段组合，只能用动态 SQL。核心是把列名列表构造成字符串，再用 EXEC（SQL Server）或 PREPARE/EXECUTE（MySQL）执行。
- SQL Server 示例：
DECLARE @sql NVARCHAR(MAX) = 'SELECT ' + CASE @role WHEN 'admin' THEN 'id, name, email, created_at' WHEN 'user' THEN 'id, name' ELSE 'id, name, status' END + ' FROM users'; EXEC sp_executesql @sql; - MySQL 示例：
SET @sql = CONCAT('SELECT ', IF(role = 'admin', 'id, name, email', 'id, name'), ' FROM users'); PREPARE stmt FROM @sql; EXECUTE stmt; DEALLOCATE PREPARE stmt; - 注意：拼接列名前必须严格校验
@role值，防止 SQL 注入。只允许白名单值（如'admin','user','guest'），禁止直接拼接用户输入
多结果集场景下，每个 SELECT 对应一个角色视图
如果角色差异大（比如 admin 返回 10 列、reporter 只要聚合统计），更稳妥的做法是用多个独立 SELECT 语句，各自返回结构不同的结果集。
- SQL Server 中，调用方需用
NextResult()（.NET）或GetNextResult()（OLE DB）逐个读取 - MySQL 存储过程中，
SELECT语句顺序执行，客户端必须能处理多个结果集（如 JDBC 的Statement.execute()+getMoreResults()） - 关键限制：中间不能夹杂
INSERT/UPDATE/PRINT等非查询语句，否则后续结果集会被截断或丢失
输出参数不适合返回表数据
别试图用 OUTPUT 参数传整张表——它只支持标量值（单个数字、字符串等）或表值参数（TVF），而 TVF 要求调用方提前定义类型，失去动态性。真正需要灵活列结构时，只有动态 SQL 或多结果集两条路可走。
最易被忽略的是：动态 SQL 拼出的列名若含空格、特殊字符或关键字（如 order），必须用方括号（SQL Server）或反引号（MySQL）包裹，否则执行失败。
