Nome della tabella di passaggio nella stored procedure sql

Question

È possibile passare il nome della tabella come parametro di input alla stored procedure?

Ad esempio:

create procedure test 
@tablename char(10) 
as 
begin 
select * from @tablename 
end 
go 

So che questo non funziona. Quindi qual è il modo migliore se voglio passare il nome della tabella nella stored procedure?

Molte grazie

Answer 1

Il modo più sicuro per farlo è tramite una vista.

Creare una vista che unioni tutte le tabelle a cui si desidera accedere (e che devono avere tutte la stessa struttura di colonna) e anteporre le righe al nome della tabella.

CREATE VIEW MultiTable 
AS 
    SELECT 'table1' AS TableName, * FROM table1 
    UNION ALL 
    SELECT 'table2' AS TableName, * FROM table2 
    UNION ALL 
    SELECT 'table3' AS TableName, * FROM table3 

tuo stored procedure può filtrare sul nome della tabella:

CREATE PROCEDURE test 
    @TableName varchar(100) 
AS 
    SELECT * FROM MultiTable WHERE TableName = @TableName 

Questo è più sicuro che usare la creazione di SQL dinamico e l'esecuzione.

Answer 2

È necessario utilizzare l'SQL dinamico, ma è necessario essere consapevoli dei potenziali rischi di iniezione in SQL che si aprono come se @tablename contenesse qualcosa di poco sicuro, si potrebbe finire in un mondo di dolore.

ad es.

-- basic check to see if a table with this name exists 
IF NOT EXISTS(SELECT * FROM sys.tables WHERE name = @tablename) 
    RETURN 

DECLARE @sql NVARCHAR(100) 
SET @sql = 'SELECT * FROM ' + QUOTENAME(@tablename) 
EXECUTE(@sql) 

È necessario essere molto attenti con questo approccio, assicurarsi di non aprire una lattina di worm di sicurezza.

Un'altra mia preoccupazione è che si stia tentando di rendere generici i dati di accesso sproc che di solito è una cattiva idea. Ovviamente non conosco il tuo caso d'uso.

Answer 3

DECLARE @Name VARCHAR(50) 
SET @Name='Company' 

EXEC('SELECT * from ' + @Name) 

utilizzare in questo modo per ottenere record dal database.