TSQL“无效的列名称上的存储过程的参数值误差

Question

这里是我的代码：

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ' + @unitCode + 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL) 

当我unitCode =“COB”运行此存储过程和currYEAR =“10”，我得到以下错误：

Invalid column name 'COB'. 

有谁知道为什么？

thx！

Answer 1

你需要把周围的值引号的SQL：

'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + 
''' AND FiscYear = ''' + @currYEAR + '''' 

Answer 2

这是有一个很好的SQL注入漏洞。

开始通过改写这种方式，使用绑定参数：

DECLARE @SQL nvarchar(4000) 

SET @SQL = 
    'SELECT CategoryID, SubCategoryID, ReportedNumber ' + 
    'FROM tblStatistics ' + 
    'WHERE UnitCode = @UnitCode ' + 
    'AND FiscYear = @CurrYear' 

EXEC sp_executesql 
    @SQL, 
    '@UnitCode varchar(10), @CurrYear int', 
    @UnitCode = 'COB', 
    @FiscYear = 10 

Answer 3

你没有你的报价，引号里 - SQL基本上只能看着

WHERE UnitCode = COB 

和COB不能是一列。但为什么你要这样构建SQL？为什么不

SELECT CategoryID, SubCategoryID, ReportedNumber 
    FROM tblStatistics 
WHERE UnitCode = @unitCode 
    AND FiscYear = @currYear 

Answer 4

如果我们可以假设UnitCode是VARCHAR场你必须添加周围的@unitcode变量的报价。

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + '''' 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL)