MySQL 預存程序動態 SQL 實戰：PREPARE/EXECUTE 變數限制與表名參數化解決方案

核心限制總結

標準動態 SQL 模板

DROP PROCEDURE IF EXISTS `up_common_select`;
CREATE PROCEDURE `up_common_select`(IN t_name VARCHAR(64))
BEGIN
    DECLARE v_sql VARCHAR(500);
    
    -- 1. 組裝 SQL 字串（解決表名參數化）
    SET v_sql = CONCAT('SELECT * FROM `', t_name, '`');
    
    -- 2. 必須轉給 @session 變數
    SET @v_sql = v_sql;
    
    -- 3. PREPARE / EXECUTE / DEALLOCATE
    PREPARE stmt FROM @v_sql;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END;

-- 呼叫
CALL up_common_select('admin_authority');

進階：帶參數的動態查詢

CREATE PROCEDURE `search_users`(
    IN tbl VARCHAR(64),
    IN keyword VARCHAR(100),
    IN lim INT
)
BEGIN
    SET @sql = CONCAT('SELECT * FROM `', tbl, '` WHERE name LIKE ? LIMIT ?');
    SET @kw = CONCAT('%', keyword, '%');
    SET @lim = lim;
    
    PREPARE stmt FROM @sql;
    EXECUTE stmt USING @kw, @lim;  -- 必須用 @變數
    DEALLOCATE PREPARE stmt;
END;

安全防注入檢查清單

1. 表名/欄位名：白名單驗證，不可直接拼接用戶輸入
2. 值參數：務必用 PREPARE + USING，絕不拼接
3. 識別符反引號：CONCAT('`', REPLACE(identifier, '`', ''), '`')
4. 限制 max_prepared_stmt_count 防止洩漏

常見錯誤與修正

效能提示

• 動態 SQL 無法使用查詢快取（已移除）
• 頻繁 PREPARE 產生解析開銷，熱點路徑改用固定 SQL
• PREPARE 會話級持久，連線池復用時注意清理

1. 上一篇文章： MySQL 權限系統深度解析：用戶認證、主機匹配、權限表結構與最佳實踐
2. 下一篇文章： Windows 下 MySQL 備份還原完整操作指南：mysqldump、mysqladmin 與命令列實戰

MySQL 資料庫相關知識

SQL Server 2005 自動備份資料庫圖文教程：維護計畫與 T-SQL 作業完整設定

SQL Server 2005 透過 SQL Server

MySQL GROUP BY 進階實戰：去重、分組統計與多表關聯刪除重複數據

一、 基礎語法回顧 SELECT 分組列, 聚合函數(統計列

MySQL 中文亂碼問題徹底解決：字符集配置、連線協議、應用層最佳實踐

中文亂碼是 MySQL 使用者最常遇到的坑，本質是「編碼不一

MySQL LIKE 模糊查詢全攻略：通配符、大小寫、中文編碼、索引效能與 PHP 實戰

前言 LIKE 是 SQL 模糊比對的核心運算子，配合通配符