MySQL存储过程无法直接用变量作LIMIT参数，必须通过PREPARE+EXECUTE动态拼接SQL，并对输入参数强制CAST为SIGNED防注入和科学计数法错误。
MySQL 存储过程里不能直接用变量当 LIMIT 参数
这是最常卡住人的地方：你写了 SELECT * FROM t LIMIT @offset, @size，结果报错 You have an error in your SQL syntax。MySQL 在预编译阶段就要求 LIMIT 后必须是常量或 ? 占位符（仅限 PREPARE），不能是普通用户变量或存储过程变量。
- 根本原因：SQL 解析器在 prepare 阶段就要确定扫描行数上限，变量值在运行时才可知，不满足语法约束
- 正确路径只有一条：必须用
PREPARE + EXECUTE动态拼接 SQL - 别试图绕过——
SET @sql = CONCAT(...)之后不PREPARE，一样会失败
用 CONCAT 拼接 SQL 时要防注入和类型转换问题
传入的 offset 和 size 是参数，不是可信输入。直接拼进字符串等于给 SQL 注入开后门；同时整数变量拼进字符串可能变成科学计数法（比如大 offset 被转成 1E6），导致语法错误。
- 必须先用
CAST(param AS SIGNED)强转为整型，再拼接 ——CONCAT('LIMIT ', CAST(p_offset AS SIGNED), ', ', CAST(p_size AS SIGNED)) - 表名、字段名如果也动态，得用
QUOTE()包裹并额外校验白名单，但分页场景通常固定 - 避免用
CONCAT_WS或省略空格，LIMIT10,20会直接报错
完整可跑的存储过程模板（含边界检查）
实际写的时候，光解决语法不够，还要处理负数 offset、size=0、超大数据量等真实 case。下面这段去掉注释就能用：
DELIMITER $$
CREATE PROCEDURE sp_paginate_users(
IN p_offset INT,
IN p_size INT
)
BEGIN
DECLARE safe_offset INT DEFAULT 0;
DECLARE safe_size INT DEFAULT 20;
<pre class='brush:php;toolbar:false;'>-- 防负数和过大值（按需调整上限）
SET safe_offset = IF(p_offset < 0, 0, p_offset);
SET safe_size = IF(p_size <= 0 OR p_size > 1000, 20, p_size);
SET @sql = CONCAT('SELECT id, name FROM users ORDER BY id LIMIT ',
CAST(safe_offset AS SIGNED), ', ',
CAST(safe_size AS SIGNED));
PREPARE stmt FROM @sql;
EXECUTE stmt;
DEALLOCATE PREPARE stmt;END$$ DELIMITER ;
PostgreSQL 或 SQL Server 用户注意语法差异
如果你其实用的是其他数据库，别硬套 MySQL 这套 —— 它们原生支持变量分页，强行 PREPARE 反而多余甚至报错。
- PostgreSQL：直接用
OFFSET p_offset ROWS FETCH NEXT p_size ROWS ONLY，参数可直接传入 - SQL Server：用
OFFSET @offset ROWS FETCH NEXT @size ROWS ONLY，且要求必须带ORDER BY - SQLite：支持
LIMIT ? OFFSET ?，两个问号可直接绑定变量，无需拼接
跨数据库写存储过程时，LIMIT 的变量兼容性是第一个要确认的点，不是所有“分页”都长一个样。
