应避免动态拼接ORDER BY，改用CASE表达式硬编码白名单字段并配合@sort_dir控制升降序，确保类型一致、建对应索引，版本号等特殊排序需手动拆解。
SQL Server 存储过程中避免字符串拼接 ORDER BY
直接把 @sort_column 拼进 SQL 字符串里，是性能和安全双崩的典型操作。SQL Server 不会缓存这种动态拼接语句的执行计划，每次都要重新编译；更严重的是，参数若来自用户输入，极易触发 SQL 注入。
正确做法是用 CASE 表达式显式分支，把所有合法排序字段“硬编码”进语句结构中：
ORDER BY
CASE @sort_column
WHEN 'name' THEN name
WHEN 'created_at' THEN created_at
WHEN 'status' THEN status
ELSE id -- 默认兜底，避免 NULL 导致排序失效
END * CASE @sort_dir WHEN 1 THEN -1 ELSE 1 END
-
@sort_column类型建议为VARCHAR(32)，值必须限定在白名单内（如'name'、'created_at'） - 所有
THEN分支返回值类型需一致；若字段类型混杂（比如name是VARCHAR，created_at是DATETIME），SQL Server 会报Conversion failed when converting the varchar value to data type int - 升降序不传
'ASC'/'DESC'字符串，改用@sort_dir BIT控制正负号，避免语法解析失败
PostgreSQL 中用 NULLS FIRST/LAST 简化方向控制
PostgreSQL 支持 NULLS FIRST 和 NULLS LAST，配合 @sort_dir 参数可省一层 CASE 嵌套，写法更干净：
ORDER BY
CASE @sort_column
WHEN 'price' THEN price
WHEN 'title' THEN title
END DESC NULLS LAST
- 若
@sort_dir = 0（升序），把DESC换成ASC；若为 1，则保留DESC - 注意：不能写成
ORDER BY ... CASE @sort_dir WHEN 1 THEN DESC ELSE ASC END—— 这是语法错误，ASC/DESC是关键字，不是表达式值 - 如果排序字段是 JSONB 路径（如
data->>'score'），记得提前建函数索引：CREATE INDEX idx_score ON t ((data->>'score')::numeric);
MySQL 8.0+ 利用窗口函数简化逻辑
MySQL 5.7 不支持运行时字段名判断，升级到 8.0 后仍不推荐拼接，但可用 ROW_NUMBER() + 条件聚合间接实现“伪动态”排序，尤其适合分页场景：
SELECT * FROM (
SELECT *,
ROW_NUMBER() OVER (
ORDER BY
CASE @sort_column
WHEN 'id' THEN id
WHEN 'amount' THEN amount
END * IF(@sort_dir = 1, -1, 1)
) rn
FROM orders
) t WHERE rn BETWEEN ? AND ?
- 该写法本质仍是静态结构，但把排序逻辑下沉到窗口函数内，对分页友好
- 注意：MySQL 对
CASE中混合类型容忍度比 SQL Server 高，但遇到VARCHAR和INT混用时仍可能隐式转成字符串导致数值排序错乱（如'10' ） - 若字段含中文或特殊字符，确保列排序规则（collation）支持正确比较，否则
ORDER BY name可能不符合预期
自然排序（如 'v1.9' vs 'v1.10'）必须拆解处理
直接 ORDER BY version_str 会把 'v1.10' 排在 'v1.9' 前面，因为字符串比较是逐字符进行的。没有数据库原生支持语义化版本排序，必须手动拆解：
ORDER BY CAST(SUBSTRING_INDEX(SUBSTRING_INDEX(version_id, '.', 1), 'v', -1) AS UNSIGNED), CAST(SUBSTRING_INDEX(SUBSTRING_INDEX(version_id, '.', 2), '.', -1) AS UNSIGNED), CAST(SUBSTRING_INDEX(version_id, '.', -1) AS UNSIGNED)
- 这段 MySQL 写法适用于格式为
vX.Y.Z的版本号，分别提取主、次、修订号并转为整数排序 - PostgreSQL 可用
string_to_array()+CAST实现类似逻辑，SQL Server 则需STRING_SPLIT()（2016+）配合子查询 - 别指望
ORDER BY CAST(version_id AS UNSIGNED)—— 它只取开头数字，'v1.9'和'v1.10'都变成 1，失去区分度
真实场景里最易被忽略的点：排序字段是否已建索引，且索引顺序与 ORDER BY 完全一致。哪怕逻辑完全正确，缺索引也会触发 Using filesort，数据量一上去就卡死。
