拼接字符串执行动态sql易出错，主因是单引号未转义、变量类型不匹配、作用域丢失；应优先用sp_executesql并显式声明参数类型，动态对象名须用quotename()包裹，条件拼接需同步参数定义，临时表建议用表变量，string_agg结果需转nvarchar(max)并校验长度。
拼接字符串执行 EXEC 或 sp_executesql 为什么总出错？
直接拼 SQL 字符串再执行，最常见问题是单引号没转义、变量类型不匹配、作用域丢失。比如把用户输入的 @name = N"O'Reilly" 直接塞进字符串，结果生成了语法错误的 WHERE name = 'O'Reilly' —— 中间那个撇号提前闭合了字符串。
- 永远优先用
sp_executesql，不用EXEC(@sql)：前者支持参数化，后者纯字符串替换，毫无安全缓冲 -
sp_executesql的参数必须显式声明类型，且长度要足够（比如NVARCHAR(256)不能写成NVARCHAR(10)截断值） - 动态部分（如表名、列名）无法参数化，必须白名单校验或用
QUOTENAME()包裹，QUOTENAME(@table_name)会自动加方括号并转义内部的]
WHERE 条件动态拼接时，空值或空字符串怎么处理？
很多人写 IF @status IS NOT NULL SET @sql += ' AND status = @status'，但漏掉参数传递逻辑，或者把 @status 当成字面量拼进去，导致参数未定义错误。
- 条件拼接和参数定义必须同步：每加一个
AND子句，就要在sp_executesql的参数声明和值列表里对应补上 - 避免用
IS NULL判断来决定是否拼接，改用NULLIF(@status, '')统一归零，再配合COALESCE或CASE在 SQL 内部处理 - 更稳的做法是固定 SQL 模板，用
AND (@status IS NULL OR status = @status)，把判断下推到执行时，省去字符串拼接分支
动态 SQL 执行后查不到数据，但手动贴出来能跑通？
典型原因是作用域问题：EXEC(@sql) 在子作用域运行，建的临时表、设的变量在外部不可见；或者事务上下文不一致，比如在事务中执行动态 SQL 后没正确处理回滚点。
- 临时表要用全局临时表
##temp（慎用）或表变量@result TABLE(...)，后者可被sp_executesql输出参数返回 - 需要返回结果集时，别用
INSERT INTO #t EXEC(@sql)，改用INSERT INTO @result EXEC sp_executesql @sql, @params, ... - 如果动态 SQL 里含
SET NOCOUNT ON，而调用方依赖影响行数做判断，记得在模板开头统一关掉它，或明确捕获@@ROWCOUNT
SQL Server 2019+ 用 STRING_AGG 拼接动态列，为什么报错“无法绑定多部分标识符”？
因为 STRING_AGG 返回的是字符串值，不是可执行语句；你不能把它直接喂给 EXEC，还得再套一层 sp_executesql，而且聚合结果可能超长（默认截断 8000 字符）。
- 用
STRING_AGG(CAST(... AS NVARCHAR(MAX)), ',')强制转大类型，避免隐式截断 - 聚合结果赋给
NVARCHAR(MAX)变量后，检查长度：IF LEN(@sql) > 100000 RAISERROR('SQL too long', 16, 1)，防爆内存 - 别在聚合里混用不同兼容级别语法（比如
OFFSET FETCH在低版本不支持），动态 SQL 的执行环境取决于当前数据库兼容级别，不是你写代码时的版本
sys.tables 预检，不能只信输入。 
