在固定报表场景下，我们写一条带GROUP BY的查询就能满足需求。但一旦遇到用户可以自选统计维度的场景，比如同一张销售表，有时按部门汇总，有时按月份汇总，有时还要按地区加月份交叉汇总，写死的SQL就无法应对。本文围绕SQL如何实现动态分组统计这一主题，讲解如何用存储过程配合动态SQL，根据参数动态生成分组条件与查询语句，并给出SQL Server和MySQL两种实现方案。
一、什么是动态分组统计，为什么需要它
动态分组统计，指的是分组字段在编写SQL时无法确定，只有在运行时根据外部输入才能确定，然后现场拼出一条完整的查询语句去执行。典型场景包括多维报表、自定义看板、按条件导出汇总数据等。这类需求的共同特点是：表结构固定，但统计维度组合多变。
如果不用动态SQL，常见的土办法是在应用程序里写一堆if判断，为每种维度组合维护一条SQL。维度一多，组合数量呈指数增长，维护成本极高。而把维度选择逻辑下沉到数据库端的存储过程中，应用程序只需要传入维度参数，剩下的拼接和执行都由存储过程完成，既减少了网络交互，也便于统一管理和调优。
需要强调的是，动态SQL的本质仍然是字符串拼接后执行，因此天然存在SQL注入风险。任何把用户原始输入直接拼进SQL的做法都是危险的，这也是后文重点讨论参数校验的原因。
二、SQL Server中用存储过程实现动态分组
SQL Server提供了sp_executesql系统存储过程来执行动态语句，相比老的EXEC方式，它支持参数化，有助于执行计划缓存。下面的例子演示如何根据传入的维度参数动态生成分组统计。
-- 示例表：销售记录
CREATE TABLE SalesRecord (
ID INT PRIMARY KEY IDENTITY,
DeptName NVARCHAR(50), -- 部门
SaleMonth NVARCHAR(10), -- 月份，如 2024-01
Region NVARCHAR(50), -- 地区
Amount DECIMAL(12,2) -- 销售额
);
-- 动态分组统计存储过程
CREATE PROCEDURE usp_DynamicGroupStat
@GroupFields NVARCHAR(200) -- 允许值：DeptName / SaleMonth / Region，可组合
AS
BEGIN
SET NOCOUNT ON;
DECLARE @sql NVARCHAR(MAX);
-- 白名单校验，防止SQL注入
DECLARE @valid NVARCHAR(200) =
CASE @GroupFields
WHEN 'DeptName' THEN 'DeptName'
WHEN 'SaleMonth' THEN 'SaleMonth'
WHEN 'Region' THEN 'Region'
WHEN 'DeptName,SaleMonth' THEN 'DeptName, SaleMonth'
WHEN 'Region,SaleMonth' THEN 'Region, SaleMonth'
ELSE NULL
END;
IF @valid IS NULL
BEGIN
RAISERROR('不支持的分组字段组合', 16, 1);
RETURN;
END
SET @sql = N'SELECT ' + @valid
+ N', COUNT(*) AS OrderCount, SUM(Amount) AS TotalAmount
FROM SalesRecord
GROUP BY ' + @valid
+ N' ORDER BY ' + @valid;
EXEC sp_executesql @sql;
END
调用方式非常简单，执行EXEC usp_DynamicGroupStat 'DeptName,SaleMonth'即可得到部门加月份的交叉汇总。整个过程的关键在于白名单映射：外部传入的是逻辑名称，真正进入SQL的是经过校验映射后的固定字符串，用户输入永远没有机会直接参与拼接。
还可以进一步扩展，比如增加日期范围参数。日期属于值类型参数，可以完全参数化传递，配合sp_executesql的参数占位符使用，进一步降低注入风险并提升计划复用率。
SET @sql = @sql + N' WHERE SaleMonth BETWEEN @start AND @end';
EXEC sp_executesql @sql,
N'@start NVARCHAR(10), @end NVARCHAR(10)',
@start = @StartDate, @end = @EndDate;
三、MySQL中的PREPARE语句实现方案
MySQL从5.0开始支持PREPARE语法，可以在存储过程中准备并执行一条字符串形式的SQL。思路与SQL Server一致：接收参数、白名单校验、拼接语句、准备执行、释放资源。
DELIMITER $$
CREATE PROCEDURE sp_dynamic_group_stat(IN p_group_fields VARCHAR(200))
BEGIN
DECLARE v_fields VARCHAR(200);
-- 白名单映射
IF p_group_fields = 'DeptName' THEN
SET v_fields = 'DeptName';
ELSEIF p_group_fields = 'SaleMonth' THEN
SET v_fields = 'SaleMonth';
ELSEIF p_group_fields = 'DeptName,SaleMonth' THEN
SET v_fields = 'DeptName, SaleMonth';
ELSE
SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '不支持的分组字段组合';
END IF;
SET @sql = CONCAT(
'SELECT ', v_fields,
', COUNT(*) AS OrderCount, SUM(Amount) AS TotalAmount
FROM SalesRecord GROUP BY ', v_fields,
' ORDER BY ', v_fields
);
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;
END$$
DELIMITER ;
注意MySQL的PREPARE只能作用于用户变量（以@开头的变量），不能直接使用存储过程的局部变量，所以上面先把拼接结果赋给@sql。此外，PREPARE支持的语句类型有限制，动态语句里不能包含LOCK TABLES等少数语法，使用前需确认。
如果维度组合非常多，逐个写IF会很繁琐，可以改用映射表方案：建一张维度配置表，存储维度编码与对应字段表达式，运行时用SELECT查表拿到合法字段串再拼接。这样新增维度只需插入一条配置记录，无需修改存储过程代码，扩展性明显更好。
四、安全性、性能与结果加工的注意事项
安全方面必须坚持两条原则：第一，分组字段只能走白名单，绝不能把用户输入的字符串直接拼进GROUP BY子句；第二，过滤条件中的值一律参数化。白名单可以写成CASE表达式，也可以查配置表，但无论如何都要在拼接前完成校验，校验失败立即报错返回。
性能方面，动态SQL每次拼接出的语句文本可能不同，会导致执行计划难以缓存。缓解办法是控制维度组合数量，让高频组合的语句文本保持稳定；同时在分组字段和过滤字段上建立合适的索引，例如经常按SaleMonth分组统计时，为(SaleMonth, DeptName)建立复合索引能显著减少排序开销。对于大表，还可以考虑把汇总结果落入中间汇总表，用定时任务预聚合，查询时直接读汇总表。
结果加工方面，动态分组返回的列数会随维度数量变化，应用程序读取时建议按列名动态映射，不要依赖固定列下标。如果需要把行转成列（比如月份横向展示），可以再叠加PIVOT（SQL Server）或条件聚合（MySQL的SUM CASE写法），将这些逻辑同样封装进存储过程，对外暴露统一接口。
总的来说，动态分组统计的核心套路是：参数接收、白名单校验、语句拼接、参数化执行、资源释放。把这几个环节做扎实，再结合索引优化和预聚合策略，就能在保证安全的前提下，让报表系统灵活应对各种统计维度组合。