将列名作为参数传递给mySQL中的存储过程

Question

我正在创建一些存储过程来管理我的数据库。特别是，我想创建一个存储过程来编辑特定行的一列，但是我想通过将列名作为参数传递来做到这一点。

那就是我想做的

CREATE PROCEDURE myDB.edit_myTable(
    IN key CHAR(16), 
    IN col VARCHAR(100), 
    new_value VARCHAR(200)
)
UPDATE myDB.myTable SET col = new_value

使用该参数，key我找到了myTable要编辑的特定行，并且我想使用该参数col来仅编辑我想要的列。

CONCATE()正如我在其他主题上所读到的那样，我已经尝试使用或定义局部变量，但没有找到解决方案。

有什么帮助吗？

Answer 1

您将需要使用 动态SQL ：

DELIMITER //
CREATE PROCEDURE myDB.edit_myTable(
    IN key CHAR(16), 
    IN col VARCHAR(100), 
    new_value  VARCHAR(200)
)
BEGIN
    SET @s = CONCAT(
        'UPDATE myDB.myTable SET `', 
         col, '` = ', QUOTE(new_value),
         ' WHERE key = ', QUOTE(key)
    );
    PREPARE stmt FROM @s;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END
//
DELIMITER;

请注意，正如Paul Spiegel所评论的那样，对列名称使用变量会带来SQL注入的风险。一种提高安全性的解决方案是col使用MySQL信息模式，确保输入确实存在于目标表中：

DELIMITER //
CREATE PROCEDURE myDB.edit_myTable(
    IN key CHAR(16), 
    IN col VARCHAR(100), 
    new_value  VARCHAR(200)
)
BEGIN
    DECLARE col_exists INT;

    SELECT COUNT(*) INTO col_exists 
    FROM  information_schema.COLUMNS
    WHERE TABLENAME = 'mytable' AND COLUMN_NAME = col;

    IF (col_exists != 1) THEN
        SIGNAL SQLSTATE '45000'
        SET MESSAGE_TEXT = CONCAT('Column ', col, ' does not exist in table mytable');
    END IF;

    SET @s = CONCAT(
        'UPDATE myDB.myTable SET `', 
         col, '` = ', QUOTE(new_value),
         ' WHERE key = ', QUOTE(key)
    );
    PREPARE stmt FROM @s;
    EXECUTE stmt;
    DEALLOCATE PREPARE stmt;
END
//
DELIMITER;