EXEC用法总结

一、使用EXEC执行存储过程

例如存储过名为：myprocedure

1. use AdventureWorks  
2.   
3. create procedure myprocedure @city varchar(20)  
4.   
5. as  
6.   
7. begin  
8.   
9.     select * from Person.Address  
10.   
11. end  

1. exec myprocedure @city = 'Bothell'  
2.   
3. --或  
4.   
5. exec myprocedure 'Bothell'  

二、使用EXEC执行动态的SQL语句

注意：动态的sql必须包含于圆括号内如：

1. exec ('select * from mytable')  

使用EXEC执行动态sql语句注意下面问题

1.不能有输入参数，输出参数

下面的脚本是错误的：

1. DECLARE @i AS INT;  
2. SET @i = 10248;  
3.   
4. DECLARE @sql AS VARCHAR(52);  
5. SET @sql = 'SELECT * FROM dbo.Orders WHERE OrderID = @i;';  
6. EXEC(@sql);  
7. GO  

2.园括号内部能使用函数或case表达式

下面的脚本是错误的：

1. DECLARE @schemaname AS NVARCHAR(128), @tablename AS NVARCHAR(128);  
2. SET @schemaname = N'dbo';  
3. SET @tablename = N'Order Details';  
4. EXEC(N'SELECT COUNT(*) FROM '  
5.      + QUOTENAME(@schemaname) + N'.' + QUOTENAME(@tablename) + N';');  
6. GO  

不过把函数放在变量中是可以的：

1. DECLARE  
2.   @schemaname AS NVARCHAR(128),  
3.   @tablename AS NVARCHAR(128),  
4.   @sql AS NVARCHAR(539);  
5. SET @schemaname = N'dbo';  
6. SET @tablename = N'Order Details';  
7. SET @sql = N'SELECT COUNT(*) FROM '  
8.   + QUOTENAME(@schemaname) + N'.' + QUOTENAME(@tablename) + N';'  
9. EXEC(@sql);  

3.不能利用重用执行计划，存所以存在性能问题

1. DECLARE @i AS INT;  
2. SET @i = 10248;  
3.   
4. DECLARE @sql AS VARCHAR(52);  
5. SET @sql = 'SELECT * FROM dbo.Orders WHERE OrderID = '  
6.   + CAST(@i AS VARCHAR(10)) + N';';  
7. EXEC(@sql);  
8. GO  

当@i = 10248, 10249, 10250要生成3个执行计划。

4。容易被sql注入，存在安全问题。

1. DECLARE @lastname AS NVARCHAR(40), @sql AS NVARCHAR(200);  
2. SET @lastname = N''' DROP TABLE dbo.Employees --';  
3. SET @sql = N'SELECT * FROM dbo.Employees WHERE LastName = '''  
4.   + @lastname + ''';';  
5. EXEC @sql;  
6. GO  

实际执行的sql为：

1. SELECT * FROM dbo.Employees WHERE LastName = '' DROP TABLE dbo.Employees --';