摘要：

MSSQL为我们提供了两种动态执行sql语句的命令：EXEC 和 SP_EXECUTESQL。通常SP_EXECUTESQL更具优势，因为它提供了输入输出的接口，且能够重用执行计划，大大提高执行效率，而且不会导致SQL注入，比较安全，这些优势都是EXEC所不具有的，EXEC通常用来执行存储过程。所以，除非有充分的理由，否则在执行动态SQL的时候尽量使用SP_EXECUTESQL。

用法举例：

-----------EXEC：

DECLARE @TableName VARCHAR(50),@Sql NVARCHAR(MAX),@OrderID INT;
SET @TableName = 'Orders';
SET @OrderID = 10251;
SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +'WHERE OrderID = '+CAST(@OrderID AS VARCHAR(10))+' ORDER BY ORDERID DESC'
EXEC(@sql);

注：注意用EXEC的时候要有括号且括号中只允许有一个字符串变量，也可以是由多个字符串拼接而成的，例如：

EXEC(@sql+@sql2+@sql3);

但是如下就会报错。

EXEC('SELECT TOP('+ CAST(@TopCount AS VARCHAR(10)) +')* FROM '+QUOTENAME(@TableName) +' ORDER BY ORDERID DESC');

所以最佳实践是把所有代码构造到一个字符串变量中，然后EXEC（变量）。

-----------SP_EXECUTESQL：

先来看一下SP_EXECUTESQL的语法：

sp_executesql [ @stmt = ] stmt

[

    {, [@params=] N'@parameter_name data_type [ OUT | OUTPUT ][,...n]' }

    {, [ @param1 = ] 'value1' [ ,...n ] }

]

[ @stmt= ] statement

包含 Transact-SQL 语句或批处理的 Unicode 字符串。@stmt 必须是 Unicode 常量或 Unicode 变量。  不允许使用更复杂的 Unicode 表达式（例如使用 + 运算符连接两个字符串）。不允许使用字符常量。 如果指定了 Unicode 常量，则必须使用 N 作为前缀， 字符串的大小仅受可用数据库服务器内存限制， 在 64 位服务器中，字符串大小限制为 2 GB，即 nvarchar(max) 的最大大小。

[ @params= ] N'@parameter_namedata_type [ ,... n ] '
一个字符串，它包含 @stmt 中嵌入的所有参数的定义。 字符串必须是 Unicode 常量或 Unicode 变量。 每个参数定义由参数名称和数据类型组成。必须在 @params 中定义 @stmt中指定的每个参数。 如果 @stmt 中的 Transact-SQL 语句或批处理不包含参数，则不需要使用 @params。 该参数的默认值为 NULL。

[ @param1= ] 'value1'

参数字符串中定义的第一个参数的值。  该值可以是 Unicode 常量，也可以是 Unicode 变量。  必须为 @stmt 中包含的每个参数提供参数值。  如果 @stmt 中的 Transact-SQL 语句或批处理没有参数，则不需要这些值。

注意：参数传递可以选择'@name = value'形式或者直接写'value'， 但是一旦前面使用了 '@name = value' 形式，所有后续的参数就必须以 '@name = value' 的形式传递。如果需要传出某个参数的值，需要在[ @param1= ] 'value1'后面加上OUTPUT。

举例如下：

DECLARE @OUT_Nums INT,@IN_Score INT,@Sql NVARCHAR(MAX)
SET @IN_Score = 90
SET @sql = 'SELECT @Nums=COUNT(1) FROM t_student WHERE Score >= @Score'
EXEC SP_EXECUTESQL @sql,N'@Nums INT OUT,@Score INT',@OUT_Nums OUTPUT,@IN_Score
SELECT @OUT_Nums AS '人数'