Procedura memorizzata con nome tabella come parametro tra gli altri

Question

Ho provato ad aggiornare una procedura memorizzata che ha funzionato correttamente senza la necessità di utilizzare sp_executesql. Ora desidero avere il nome della tabella come parametro poiché ho un numero di tabelle con la stessa struttura e non voglio creare nuove stored procedure per ognuna di esse.

Il problema che ho è che questa versione sembra richiedere tutti i parametri, mentre la precedente ha accettato un numero qualsiasi di parametri. Ad esempio, se rimuovo tutti i parametri WHERE e ho solo il parametro @TableName, funziona correttamente. Ho provato a cercare un esempio, ma non riesco a trovare nulla di simile. Tutti gli esempi di analisi del nome della tabella hanno solo quel parametro.

CREATE PROCEDURE cafgTenantNamesTEST2 
    @TableName sysname, 
    @Square nvarchar(100) = null, 
    @Location nvarchar(100) = null, 
    @Name nvarchar(100) = null, 
    @NormalizedName nvarchar(100) = null, 
    @SharedLand int = 0, 
    @FieldNumber int = 0, 
    @Description nvarchar(255) = null, 
    @Dwelling nvarchar(100) = null 
AS 
BEGIN 
    DECLARE @sql AS NVARCHAR(MAX) 
    SET @sql = 'SELECT * FROM [' + @TableName + ']' + 
    'WHERE ([Square] LIKE ''' + @Square + ''' OR ''' + @Square + ''' IS NULL)' + 
    'AND ([Location] = ''' + @Location + ''' OR ''' + @Location + ''' IS NULL)' + 
    ... 
    ... 
--PRINT @sql 
EXEC sp_executesql @sql 
END 

Suggerimenti per favore.

Answer 1

Suggerimento 1: Utilizzare QUOTENAME() per gestire l'escaping corretto del nome della tabella.

Suggerimento 2: Si sta inserendo il valore del parametro in @sql. Non farlo. Invece dovresti usare pameterized lo sql.

Suggerimento 3: eliminare la logica OR da condizionale costruzione clausola WHERE della query.

CREATE PROCEDURE cafgTenantNamesTEST2 
    @TableName sysname, 
    @Square nvarchar(100) = null, 
    @Location nvarchar(100) = null, 
    @Name nvarchar(100) = null, 
    @NormalizedName nvarchar(100) = null, 
    @SharedLand int = 0, 
    @FieldNumber int = 0, 
    @Description nvarchar(255) = null, 
    @Dwelling nvarchar(100) = null 
AS 
BEGIN 
    DECLARE @sql AS NVARCHAR(MAX) 
    SET @sql = N'SELECT * FROM ' + QUOTENAME(@TableName) + 
    ' WHERE 1=1 ' 
    IF @Square IS NOT NULL 
     SET @sql = @sql + ' AND ([Square] LIKE @Square)' -- still patameterized 
    IF @Location IS NOT NULL 
     SET @sql = @sql + N' AND ([Location] = @Loc)' 
    ... 
    ... 
--PRINT @sql 
EXEC sp_executesql @sql, N'@Square nvarchar(100), @Loc nvarchar(100)...', @square=@square, @loc=@location -- the param names can be the same or different, sp_executesql has it's own scope. 
END 

Sp_executesql può eseguire sql con parametri oltre a sql semplice. È la stored procedure di sistema sottostante utilizzata dalle librerie client per eseguire codice parametrizzato. Ad esempio, System.Data.SqlClient.SqlCommand chiamerà sp_executesql se sono stati aggiunti parametri. È atipico in quanto accetta un numero variabile di parametri. I documenti msdn su sp_executesql forniscono alcune buone informazioni, ma non sono chiare. Acquisire attività in SQL profiler è il modo più semplice per vedere sp_executesql in azione.