SQL 動態別名：使用動態 SQL 實現列名參數化

核心限制

標準 SQL **不支援** 將變數直接用作列別名 (如 `SELECT col AS @var`)。別名必須在查詢編譯時期確定。

解決方案：動態 SQL (Dynamic SQL)

在運行時拼接字串構建完整 SQL 陳述式，再透過 `EXEC` / `sp_executesql` 執行。

SQL Server (T-SQL) 範例

DECLARE @n1 INT = MONTH(GETDATE());
DECLARE @n2 INT = @n1 + 1;
DECLARE @sql NVARCHAR(MAX);

-- 列名不能以數字開頭，加前綴 'm'
SET @sql = N'SELECT 當前月份發貨數 AS m' + CAST(@n1 AS NVARCHAR(2)) + N'月份發貨數, ' +
                 N'第二月份發貨數 AS m' + CAST(@n2 AS NVARCHAR(2)) + N'月份發貨數 ' +
           N'FROM 發貨表';

EXEC sp_executesql @sql; -- 推薦使用 sp_executesql 參數化，防注入

MySQL 範例

SET @n1 = MONTH(NOW());
SET @n2 = @n1 + 1;
SET @sql = CONCAT('SELECT `當前月份發貨數` AS `m', @n1, '月份發貨數`, ',
                         '`第二月份發貨數` AS `m', @n2, '月份發貨數` ',
                  'FROM `發貨表`');
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;

Oracle (PL/SQL) 範例

DECLARE
  v_n1 NUMBER := TO_NUMBER(TO_CHAR(SYSDATE, 'MM'));
  v_n2 NUMBER := v_n1 + 1;
  v_sql VARCHAR2(1000);
BEGIN
  v_sql := 'SELECT 當前月份發貨數 AS m' || v_n1 || '月份發貨數, ' ||
                  '第二月份發貨數 AS m' || v_n2 || '月份發貨數 ' ||
           'FROM 發貨表';
  EXECUTE IMMEDIATE v_sql; -- 若需返回結果集，需用 REF CURSOR
END;
/
-- 或使用 DBMS_SQL 套件完整動態查詢

安全性警示：SQL 注入風險

• **嚴禁** 直接拼接使用者輸入字串進 SQL。
• 若別名來源於使用者輸入，必須**白名單驗證** (如 `IF @alias IN ('col1','col2')`)。
• 優先使用 `sp_executesql` (SQL Server) / `PREPARE` (MySQL) / `DBMS_SQL` (Oracle) 進行參數化，僅將**值**參數化，**標識符 (表名、列名、別名) 無法參數化**，只能經驗證後拼接。

替代設計：避免動態別名

原答案提供的 `exec('select ... as m' + @n1 + '...')` 邏輯正確，但**務必注意列名不能以數字開頭** (故加 `m` 前綴)，並嚴格防範注入。