Puis-je passer le nom d'une colonne comme paramètre d'entrée dans une procédure stockée SQL ?

Question

create procedure sp_First
@columnname varchar
AS
begin
select @columnname from Table_1
end 
exec sp_First 'sname'

Mon besoin est de passer des noms de colonnes comme paramètres d'entrée. J'ai essayé comme cela mais cela a donné un résultat erroné.

Aidez-moi

Answer 1

Vous pouvez le faire de plusieurs manières.

La première consiste à élaborer soi-même la requête et à l'exécuter.

SET @sql = 'SELECT ' + @columnName + ' FROM yourTable'
sp_executesql @sql

Si vous optez pour cette méthode, veillez à bien sanctifier vos données. Même si vous savez que votre application ne donnera que de "vrais" noms de colonnes, que se passe-t-il si quelqu'un trouve une faille dans votre sécurité et est capable d'exécuter le SP directement ? Il peut alors exécuter à peu près tout ce qu'il veut. Avec le SQL dynamique, toujours, toujours valider les paramètres.

Vous pouvez également écrire une instruction CASE...

SELECT
  CASE @columnName
    WHEN 'Col1' THEN Col1
    WHEN 'Col2' THEN Col2
                ELSE NULL
  END as selectedColumn
FROM
  yourTable

C'est un peu plus long, mais beaucoup plus sûr.

Answer 2

Non. Cela ne ferait que sélectionner la valeur du paramètre. Vous devez utiliser la méthode sql dynamique.

Dans votre procédure, vous auriez les éléments suivants :

DECLARE @sql nvarchar(max) = 'SELECT ' + @columnname + ' FROM Table_1';
exec sp_executesql @sql, N''

Answer 3

Essayez d'utiliser le SQL dynamique :

create procedure sp_First @columnname varchar 
AS 
begin 
    declare @sql nvarchar(4000);
    set @sql='select ['+@columnname+'] from Table_1';
    exec sp_executesql @sql
end 
go

exec sp_First 'sname'
go

Answer 4

Ce n'est pas possible. Il faut soit utiliser du SQL dynamique (dangereux), soit une gigantesque expression de cas (lente).

Answer 5

   Create PROCEDURE USP_S_NameAvilability
     (@Value VARCHAR(50)=null,
      @TableName VARCHAR(50)=null,
      @ColumnName VARCHAR(50)=null)
        AS
        BEGIN
        DECLARE @cmd AS NVARCHAR(max)
        SET @Value = ''''+@Value+ ''''
        SET @cmd = N'SELECT * FROM ' + @TableName + ' WHERE ' +  @ColumnName + ' = ' + @Value
        EXEC(@cmd)
      END

Comme je l'ai essayé, la réponse est exécutée avec succès, mais lors de l'exécution, elle ne donne pas de résultats corrects, alors que la réponse ci-dessus fonctionne bien.