預存程序動態建立資料表：參數化表名的 EXEC 技巧與命名陷阱避坑指南

靜態表名：直接 DDL 即可

CREATE PROCEDURE ZXKS_GETSCORE
AS
BEGIN
    BEGIN TRANSACTION;
    CREATE TABLE temp_tablename
    (
        id INT PRIMARY KEY,
        da VARCHAR(300),
        fs INT
    );
    IF @@ERROR = 0 COMMIT TRANSACTION ELSE ROLLBACK TRANSACTION;
END

動態表名：必須使用動態 SQL (EXEC)

陷阱： 若參數為純數字（如學號 '123456'），直接 CREATE TABLE 123456 會語法錯誤，因 SQL Server 識別碼不能以數字開頭。

正確作法：加上非數字前綴 + EXEC

ALTER PROCEDURE createtable
    @xuehao VARCHAR(20)
AS
BEGIN
    DECLARE @tablename VARCHAR(30) = 'temp' + @xuehao;  -- 加前綴確保合法識別碼
    DECLARE @sql NVARCHAR(MAX) = N'
        CREATE TABLE ' + QUOTENAME(@tablename) + N'
        (
            name NVARCHAR(15),
            address NVARCHAR(50)
        )';
    EXEC sp_executesql @sql;
END

關鍵最佳實務

1. 永遠使用 QUOTENAME() 包裹動態物件名稱，防止注入與特殊字元破壞。
2. 使用 sp_executesql 而非 EXEC('...')，支援參數化、計畫重用、避免字串拼接錯誤。
3. 表名長度檢查： LEN(@tablename) <= 128（sysname 上限）。
4. 權限最小化： 執行動態建表的登入需具備 CREATE TABLE 權限，生產環境建議改用永久表 + 分區/檢視模擬多租戶，避免大量臨時表造成系統表膨脹。

替代方案比較