Tsql «Неверное имя столбца» ошибка по значению параметра sproc

Question

вот мой код:

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ' + @unitCode + 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL) 

Когда я запускаю этот sproc с unitCode = «СОВ» и currYEAR = «10», я получаю следующее сообщение об ошибке:

Invalid column name 'COB'. 

Кто-нибудь знает почему?

thx!

Answer 1

Вы должны поставить кавычки значений в SQL:

'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + 
''' AND FiscYear = ''' + @currYEAR + '''' 

Answer 2

Это хороший SQL инъекции уязвимости там.

Start, переписав его таким образом, используя параметры связывания:

DECLARE @SQL nvarchar(4000) 

SET @SQL = 
    'SELECT CategoryID, SubCategoryID, ReportedNumber ' + 
    'FROM tblStatistics ' + 
    'WHERE UnitCode = @UnitCode ' + 
    'AND FiscYear = @CurrYear' 

EXEC sp_executesql 
    @SQL, 
    '@UnitCode varchar(10), @CurrYear int', 
    @UnitCode = 'COB', 
    @FiscYear = 10 

Answer 3

Вы не кавычки внутри ваших цитат - SQL по существу видит

WHERE UnitCode = COB 

и COB не должен быть столбец. Но почему вы строите SQL таким образом? Почему не

SELECT CategoryID, SubCategoryID, ReportedNumber 
    FROM tblStatistics 
WHERE UnitCode = @unitCode 
    AND FiscYear = @currYear 

Answer 4

Если мы можем предположить, что UnitCode является VARCHAR поле вы должны добавить кавычки вокруг переменной @unitcode.

DECLARE @SQL varchar(600) 

SET @SQL = 
'SELECT  CategoryID, SubCategoryID, ReportedNumber 
FROM tblStatistics 
WHERE UnitCode = ''' + @unitCode + '''' 
' AND FiscYear = ' + @currYEAR 

EXEC (@SQL)