stored - ¿Puedo pasar el nombre de la columna como parámetro de entrada en SQL almacenado? Procedimiento

sp_rename column

Question

create procedure sp_First
@columnname varchar
AS
begin
select @columnname from Table_1
end
exec sp_First ''sname''

Mi requisito es pasar los nombres de las columnas como parámetros de entrada. Lo intenté así, pero me dio una salida incorrecta.

Así que ayúdame

Answer 1

Como lo menciona MatBailie Esto es mucho más seguro ya que no es una consulta dinámica y hay menos posibilidades de inyección sql. Agregué una situación en la que incluso quieres que la cláusula where sea dinámica. XX YY son nombres de columnas

 CREATE PROCEDURE [dbo].[DASH_getTP_under_TP]
(
@fromColumnName varchar(10) ,
@toColumnName varchar(10) ,
@ID varchar(10)
)
as
begin
-- this is the column required for where clause
declare @colname varchar(50)
set @colname=case @fromUserType
when ''XX'' then ''XX''
when ''YY'' then ''YY''
end
select SelectedColumnId from (
select
case @toColumnName
when ''XX'' then tablename.XX
when ''YY'' then tablename.YY
end as SelectedColumnId,
From tablename
where
(case @fromUserType
when ''XX'' then XX
when ''YY'' then YY
end)= ISNULL(@ID , @colname)
) as tbl1 group by SelectedColumnId
end

Answer 2

Esto no es posible. Utilice SQL dinámico (peligroso) o una expresión de caso gigantesca (lenta).

Answer 3

Intente usar SQL dinámico:

create procedure sp_First @columnname varchar
AS
begin
declare @sql nvarchar(4000);
set @sql=''select [''+@columnname+''] from Table_1'';
exec sp_executesql @sql
end
go
exec sp_First ''sname''
go

Answer 4

No. Eso solo seleccionaría el valor del parámetro. Necesitarías usar sql dinámico.

En su procedimiento, tendría lo siguiente:

DECLARE @sql nvarchar(max) = ''SELECT '' + @columnname + '' FROM Table_1'';
exec sp_executesql @sql, N''''

Answer 5

Por favor prueba con esto Espero que funcione para ti.

Create Procedure Test
(
@Table VARCHAR(500),
@Column VARCHAR(100),
@Value VARCHAR(300)
)
AS
BEGIN
DECLARE @sql nvarchar(1000)
SET @sql = ''SELECT * FROM '' + @Table + '' WHERE '' + @Column + '' = '' + @Value
--SELECT @sql
exec (@sql)
END
-----execution----
/** Exec Test Products,IsDeposit,1 **/

Answer 6

Puede pasar el nombre de la columna pero no puede usarlo en un estado sqlmnt como

Select @Columnname From Table

Se podría construir una cadena sql dinámica y ejecutarla como EXEC (@SQL)

Para obtener más información, consulte esta respuesta en sql dinámico.

Dynamic SQL Pros y contras

Answer 7

Puedes hacer esto de varias maneras.

Uno, es construir la consulta usted mismo y ejecutarla.

SET @sql = ''SELECT '' + @columnName + '' FROM yourTable''
sp_executesql @sql

Si optas por ese método, asegúrate de santificar tu opinión. Incluso si sabe que su aplicación solo dará nombres de columna ''reales'', ¿qué pasa si alguien encuentra una grieta en su seguridad y puede ejecutar el SP directamente? Entonces pueden ejecutar casi cualquier cosa que quieran. Con SQL dinámico, siempre, siempre , valide los parámetros.

Alternativamente, puede escribir una declaración CASE ...

SELECT
CASE @columnName
WHEN ''Col1'' THEN Col1
WHEN ''Col2'' THEN Col2
ELSE NULL
END as selectedColumn
FROM
yourTable

Esto es un poco más largo, pero mucho más seguro.

Answer 8

 Create PROCEDURE USP_S_NameAvilability
(@Value VARCHAR(50)=null,
@TableName VARCHAR(50)=null,
@ColumnName VARCHAR(50)=null)
AS
BEGIN
DECLARE @cmd AS NVARCHAR(max)
SET @Value = ''''''''+@Value+ ''''''''
SET @cmd = N''SELECT * FROM '' + @TableName + '' WHERE '' + @ColumnName + '' = '' + @Value
EXEC(@cmd)
END

Como he intentado con una de las respuestas, se está ejecutando con éxito, pero mientras ejecuta no está dando salida correcta, lo anterior funciona bien