SQL Server:cách lấy tên cơ sở dữ liệu làm tham số trong thủ tục được lưu trữ

Nếu bạn sử dụng EXEC @Var (không có dấu ngoặc - tức là không EXEC (@Var) ) SQL Server tìm kiếm một thủ tục được lưu trữ khớp với tên được truyền trong @Var . Bạn có thể sử dụng cách đặt tên ba phần cho việc này.

Nếu sys.sp_executesql được gọi với tên ba phần, ngữ cảnh được đặt cho cơ sở dữ liệu mà nó được gọi.

Vì vậy, bạn có thể làm điều này với không Nguy cơ chèn SQL như bên dưới.

CREATE PROCEDURE dbo.test @dbname SYSNAME,
                          @col    SYSNAME
AS
    SET NOCOUNT, XACT_ABORT ON;

    DECLARE @db_sp_executesql NVARCHAR(300) = QUOTENAME(@dbname) + '.sys.sp_executesql'

    EXEC @db_sp_executesql N'
                            SELECT TOP 100 *
                            FROM sys.columns 
                            WHERE name = @col',
                           N'@col sysname',
                           @col = @col 

Ngay cả khi điều trên là không thể, tôi vẫn tranh luận rằng hoàn toàn có thể sử dụng SQL động cho việc này một cách an toàn như ở đây.

CREATE PROCEDURE dbo.test
    @dbname SYSNAME, /*Use Correct Datatypes for identifiers*/
    @col SYSNAME
AS
    SET NOCOUNT ON
    SET XACT_ABORT ON

    IF DB_ID(@dbname) IS NULL  /*Validate the database name exists*/
       BEGIN
       RAISERROR('Invalid Database Name passed',16,1)
       RETURN
       END

DECLARE @dynsql nvarchar(max)  

 /*Use QUOTENAME to correctly escape any special characters*/
SET @dynsql = N'USE '+ QUOTENAME(@dbname) + N'

                         SELECT TOP 100 *
                         FROM sys.tables 
                         WHERE name = @col'

 /*Use sp_executesql to leave the WHERE clause parameterised*/
EXEC sp_executesql @dynsql, N'@col sysname', @col = @col