在数据库存储过程中处理动态查询需求时，预编译语法能够有效提升SQL执行效率，同时降低SQL注入的风险。通过PREPARE准备SQL语句、EXECUTE执行预编译语句、DEALLOCATE PREPARE释放资源的组合，可以安全高效地完成动态SQL的执行。
存储过程中预编译语法的基本流程
存储过程中动态SQL预编译执行的核心流程分为三步：首先拼接得到完整的SQL字符串，然后使用PREPARE语句将字符串准备为预编译语句，最后通过EXECUTE执行该预编译语句，执行完成后释放资源。
基础语法说明
PREPARE语句的语法格式如下：
-- 准备预编译语句，stmt_name是预编译语句的名称，sql_text是要执行的SQL字符串 PREPARE stmt_name FROM sql_text;
EXECUTE语句的语法格式如下，当预编译SQL包含占位符时，需要按顺序传递参数：
-- 执行预编译语句，如果SQL有占位符?，需要传递对应参数 EXECUTE stmt_name [USING @param1, @param2, ...];
执行完成后需要释放预编译资源：
-- 释放预编译语句资源 DEALLOCATE PREPARE stmt_name;
动态拼接SQL的完整示例
下面以MySQL存储过程为例，实现根据传入的表名和查询条件动态拼接SQL并执行的功能。
无参数动态查询示例
该示例根据传入的表名动态拼接查询全表数据的SQL：
DELIMITER //
CREATE PROCEDURE dynamic_query_no_param(IN table_name VARCHAR(50))
BEGIN
-- 定义变量存储拼接后的SQL字符串
DECLARE sql_str VARCHAR(1000);
-- 动态拼接SQL
SET sql_str = CONCAT('SELECT * FROM ', table_name);
-- 准备预编译语句
PREPARE stmt FROM sql_str;
-- 执行预编译语句
EXECUTE stmt;
-- 释放预编译资源
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
调用该存储过程时，传入对应的表名即可查询对应表的所有数据：
-- 调用存储过程查询user表数据
CALL dynamic_query_no_param('user');
带参数的动态查询示例
如果动态SQL中包含查询条件，需要使用占位符?配合USING传递参数，避免直接拼接参数值导致SQL注入：
DELIMITER //
CREATE PROCEDURE dynamic_query_with_param(
IN table_name VARCHAR(50),
IN min_age INT,
IN max_age INT
)
BEGIN
DECLARE sql_str VARCHAR(1000);
-- 拼接带占位符的SQL，条件部分用?代替
SET sql_str = CONCAT('SELECT * FROM ', table_name, ' WHERE age >= ? AND age <= ?');
-- 准备预编译语句
PREPARE stmt FROM sql_str;
-- 执行时传递参数，参数顺序和占位符顺序对应
EXECUTE stmt USING @min_age, @max_age;
-- 释放资源
DEALLOCATE PREPARE stmt;
END //
DELIMITER ;
调用时需要先给参数变量赋值：
-- 设置查询参数
SET @min_age = 18;
SET @max_age = 30;
-- 调用存储过程查询user表中18到30岁的用户
CALL dynamic_query_with_param('user', @min_age, @max_age);
注意事项
- PREPARE语句的SQL字符串必须是变量或者字符串字面量，不能直接拼接表名、字段名等标识符到PREPARE的参数中，需要提前用CONCAT拼接完整字符串。
- EXECUTE传递的参数必须是用户变量（以@开头的变量），不能是存储过程中定义的局部变量。
- 预编译语句的名称在同一个会话中是唯一的，重复定义同名预编译语句会报错，执行完成后及时释放资源可以避免该问题。
- 动态拼接表名、字段名时无法使用占位符，只能直接拼接字符串，此时需要做好输入校验，避免非法输入导致SQL注入。
常见问题排查
如果执行存储过程时出现PREPARE stmt_name from 'xxx'; doesn't exist的错误，通常是拼接的SQL字符串语法错误，可以先把拼接后的SQL字符串输出到日志中检查语法是否正确。
如果出现参数数量不匹配的错误，需要检查EXECUTE时USING后面的参数数量和预编译SQL中的占位符数量是否一致，参数类型是否匹配。
存储过程SQL_PREPAREEXECUTE动态SQL预编译修改时间：2026-06-27 20:15:17