TSQL「無效的列名稱上的存儲過程的參數值誤差

Question

這裏是我的代碼：

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ' + @unitCode + 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL) 

當我unitCode =「COB」運行此存儲過程和currYEAR =「10」，我得到以下錯誤：

Invalid column name 'COB'. 

有誰知道爲什麼？

thx！

Answer 1

你需要把周圍的值引號的SQL：

'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + 
''' AND FiscYear = ''' + @currYEAR + '''' 

Answer 2

這是有一個很好的SQL注入漏洞。

開始通過改寫這種方式，使用綁定參數：

DECLARE @SQL nvarchar(4000) 

SET @SQL = 
    'SELECT CategoryID, SubCategoryID, ReportedNumber ' + 
    'FROM tblStatistics ' + 
    'WHERE UnitCode = @UnitCode ' + 
    'AND FiscYear = @CurrYear' 

EXEC sp_executesql 
    @SQL, 
    '@UnitCode varchar(10), @CurrYear int', 
    @UnitCode = 'COB', 
    @FiscYear = 10 

Answer 3

你沒有你的報價，引號裏 - SQL基本上只能看着

WHERE UnitCode = COB 

和COB不能是一列。但爲什麼你要這樣構建SQL？爲什麼不

SELECT CategoryID, SubCategoryID, ReportedNumber 
    FROM tblStatistics 
WHERE UnitCode = @unitCode 
    AND FiscYear = @currYear 

Answer 4

如果我們可以假設UnitCode是VARCHAR場你必須添加周圍的@unitcode變量的報價。

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + '''' 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL)