sp_executesql 的参数nvarchar类型长度超过4000怎么解决？

2010-10-20 11:20:40 918 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

wycdavid2008 墨衍会员 · AI 创作全网分发关注 + 加入社区

SQL Server参数化查询：原理、实现与性能优化实战参数化查询是关系型数据库防范SQL注入、提升执行计划复用率的核心机制，其本质在于将SQL逻辑与数据在编译期严格分离。它依托SQL Server的参数绑定、执行计划缓存和参数嗅探等底层原理，带来安全性增强、索引高效利用及CPU资源节省等关键技术价值。广泛应用于存储过程开发、动态报表查询、.NET应用层数据访问（ADO.NET/EF Core）以及云原生跨库场景。本文聚焦SQL Server平台，深入解析sp_executesql、存储过程、ORM集成等四大实现路径，并结合参数类型声明、执行计划诊断、生产监控等阅读详情

我的存储过程走到最后一步是

EXEC sp_executesql @sql,N'@month_kilo AS varchar(50) OUTPUT',@month_kilo OUTPUT;

但是@sql的长度超过了4000，有谁知道怎么解决吗？

注意事项
1.我是问 sp_executesql 不是 exec，因为有输出参数的不能用exec
2.sp_executesql 是不支持参数加法运算的
3.sp_executesql 是接受nvarchar参数的，不要说用varchar（8000）之类的。
4.我的环境是sqlserver2000，所以xxxx（max）也不能用。
5.谢谢高手能够帮帮忙。

提示
1.我在网上做过调查了，好像是用什么嵌套的，但是我这个@sql里面有单引号之类的特殊字符，我试了老是报错，下面给个参考网址，我觉得应该靠谱，但是我自己试验老报错
http://topic.csdn.net/t/20061124/16/5183201.html

...全文

动态SQL安全实践：四层防御体系与白名单驱动设计动态SQL是应对运行时不确定性的关键数据库技术，其本质并非字符串拼接，而是涵盖运行时构造、安全执行与可控性能的系统性工程能力。从基础概念看，它通过参数化、对象名转义和执行上下文隔离实现语法与逻辑解耦；技术价值在于支撑多租户报表、自动分区切换、BI自助分析等高灵活性场景；在金融、SaaS、电商等强一致性要求领域，必须构建覆盖语法层、参数层、权限层和业务层的四层防御体系，并以白名单驱动替代通用拼接，确保可审计、可回滚、可监控。本文聚焦SQL Server动态SQL落地中的QUOTENAME()精准使用、sp_e 阅读详情

wycdavid2008

疑难问题 22,298 成员 121,727 内容

+ 关注 + 加入社区

切换为时间正序

claro 2010-10-20

打赏
举报

能发1000分的帖，估计就有答案了。

yhtapmys 2010-10-20

打赏
举报

[Quote=引用 2 楼 dawugui 的回复:]
参考:

SQL code
/*--化解字符串不能超过8000的方法一
经常有人提到,用动态生成SQL语句的方法处理数据时,处理语句超长,无法处理的问题
下面就讨论这个问题:
--邹建 2003.9(引用请保留此信息)--*/
/*-- 测试环境
--以系统表 syscolumns 为测试数据,要求按xtype为列字段,name为行字段,统计colid的和
--要求结果
xty……
[/Quote]

+1

不错学习~

dawugui 2010-10-20

打赏
举报

[Quote=引用 3 楼 wycdavid2008 的回复:]
我晕，这个长上的一段，解决了我的问题了吗？我不怎么看得懂啊
[/Quote]你别晕了,我提供参考内容,问题还得你自己解决.

wycdavid2008 2010-10-20

打赏
举报

我晕，这个长上的一段，解决了我的问题了吗？我不怎么看得懂啊

dawugui 2010-10-20

打赏
举报

参考:

/*--化解字符串不能超过8000的方法一

经常有人提到,用动态生成SQL语句的方法处理数据时,处理语句超长,无法处理的问题

下面就讨论这个问题:

--邹建 2003.9(引用请保留此信息)--*/

/*-- 测试环境

--以系统表 syscolumns 为测试数据,要求按xtype为列字段,name为行字段,统计colid的和

--要求结果

xtype    filedname_1    fieldname_2    .....    fieldname_n

-------- -------------- -------------- -------- --------------

34       0              0              .....    1

--*/



/*--常规处理方法(不加行数限制会因生成的字符串益出而出错)

set rowcount 10    --因为syscolumns的记录较,会导致生成的字符串溢出,所以限制一下行数



declare @s nvarchar(4000)

set @s=''

select @s=@s+N','+quotename([name])

    +N'=sum(case name when '+quotename([name],'''')

    +N' then [colid] else 0 end)'

from(select distinct [name] from [syscolumns]) a



set rowcount 0    --取消限制

exec(N'select [xtype]'+@s+N' from [syscolumns] group by [xtype]')



/*--问题

不加行数限制时,会因生成的字符串益出而出错

--*/

--*/



/*--方法1. 多个变量处理



--根据查询结果定义变量(实际处理中,应该是估计需要多少个变量,定义足够多的变量个数,多定义变量并不影响处理,下面就多定义了一个)

--生成数据处理临时表

SELECT id=IDENTITY(int,0,1),

    g=0,

    a=CAST(N','+QUOTENAME([name])

        +N'=SUM(CASE [name] WHEN N'+QUOTENAME(name,N'''')

        +N' THEN [colid] ELSE 0 END)'

        as nvarchar(4000))

INTO # FROM syscolumns

WHERE name>N''

GROUP BY name



--分组临时表

UPDATE a SET G=id/i

FROM # a,(SELECT i=3800/MAX(LEN(a)) FROM #)b

SELECT MAX(g)+1 as N'需要的变量个数' FROM #



DECLARE @0 nvarchar(4000),@1 nvarchar(4000),@2 nvarchar(4000),@3 nvarchar(4000),@4 nvarchar(4000)

SELECT @0=N'',@1=N'',@2=N'',@3=N'',@4=N''

SELECT 

    @0=CASE g WHEN 0 THEN @0+a ELSE @0 END,

    @1=CASE g WHEN 1 THEN @1+a ELSE @1 END,

    @2=CASE g WHEN 2 THEN @2+a ELSE @2 END,

    @3=CASE g WHEN 3 THEN @3+a ELSE @3 END,

    @4=CASE g WHEN 4 THEN @4+a ELSE @4 END

FROM #

EXEC(N'SELECT xtype'+@0+@1+@2+@3+@4+N' FROM syscolumns GROUP BY xtype')

DROP TABLE #



/*--方法说明



优点:比较灵活,数据量大时只需要增加变量就行了.不用改动其他部分

缺点:要自行估计处理的数据,估计不足就会出错

--*/

--*/



/*--方法2. bcp+isql



--因为要用到bcp+isql,所以需要这些信息

declare @servername sysname,@username sysname,@pwd sysname

select @servername=@@servername  --服务器名

    ,@username=N''           --用户名

    ,@pwd=N''                --密码



declare @tbname sysname,@s nvarchar(4000)



--创建数据处理临时表

set @tbname=quotename(N'##temp_'+cast(newid() as varchar(36)))

set @s=N'create table '+@tbname+'(a nvarchar(4000))

insert into '+@tbname+N'

select N''create view '

    +stuff(@tbname,2,2,N'')

    +N' as 

select [xtype]''

union all

select N'',''+quotename([name])+''=sum(case [name] when N''

    +quotename([name],'''''''')

    +'' then [colid] else 0 end)''

    from(select distinct [name] from [syscolumns] where name<>N''xtype'')a

union all

select N''from [syscolumns] group by [xtype]'''

exec(@s)



--生成创建视图的文件,注意使用了文件:c:\temp.txt

set @s=N'bcp "'+@tbname+N'" out "c:\'+@tbname+N'" /S"'

    +@servername+N'" /U"'+@username+N'" /P"'+@pwd+N'" /w'

exec master..xp_cmdshell @s,no_output



--调用isql生成数据处理视图

set @s=N'osql /S"'+@servername

    +case 

        when @username=N'' then N'" /E' 

        else N'" /U"'+@username+N'" /P"'+@pwd+N'"'

    end

    +N' /d"'+db_name()+N'" /i"c:\'+@tbname+'"'

exec master..xp_cmdshell @s,no_output



--删除临时文件

set @s=N'del "c:\'+@tbname+'"'

exec master..xp_cmdshell @s,no_output



--调用视图,显示处理结果

set @s=N'drop table '+@tbname+N'

select * from '+stuff(@tbname,2,2,N'')+N'

drop view '+stuff(@tbname,2,2,N'')

exec(@s)



/*--方法总结



    优点:程序自动处理,不存在判断错误的问题

    缺点:复杂,经过的步骤多,容易出错,而且需要一定的操作员权限

--*/

--*/



--/*-- 方法3. 多个变量处理,综合了方法1,2的优点,解决了方法1中需要人为判断,增加变量的问题,排除了方法2,需要权限和过程复杂的问题

DECLARE @sqlhead nvarchar(4000),@sqlend nvarchar(4000)

    ,@sql1 nvarchar(4000),@sql2 nvarchar(4000),@sql3 nvarchar(4000),@sql4 nvarchar(4000)

    ,@i int,@ic nvarchar(10)



--生成数据处理临时表

SELECT id=IDENTITY(int,0,1),

    g=0,

    a=CAST(N','

        +QUOTENAME([name])

        +N'=SUM(CASE [name] WHEN N'

        +QUOTENAME(name,N'''')

        +N' THEN [colid] ELSE 0 END)'

        as nvarchar(4000))

INTO # FROM(

    SELECT DISTINCT name FROM [syscolumns] WHERE name>N'')a



--分组临时表

UPDATE a SET @i=id/i,g=@i

FROM # a,(SELECT i=3800/MAX(LEN(a)) FROM #)b

SET @ic=@i



--生成数据处理语句

SELECT 

    @sqlhead=N''''

        +REPLACE(N'SELECT [xtype]',N'''',N'''''')

        +'''',

    @sqlend=N''''

        +REPLACE(N' FROM [syscolumns] GROUP BY [xtype]',N'''',N'''''')

        +N'''',

    @sql1=N'',@sql2=N'',@sql3=N'',@sql4=N''

WHILE @ic>=0

    SELECT 

        @sql1=N',@'+@ic+N' nvarchar(4000)'+@sql1,

        @sql2=N',@'+@ic+N'=N'''''+@sql2,

        @sql3=N',@'+@ic

            +N'=CASE g WHEN '+@ic

            +N' THEN @'+@ic+N'+a ELSE @'+@ic

            +N' END'+@sql3,

        @sql4=N'+@'+@ic+@sql4,

        @ic=@ic-1

SELECT 

    @sql1=STUFF(@sql1,1,1,N''),

    @sql2=STUFF(@sql2,1,1,N''),

    @sql3=STUFF(@sql3,1,1,N''),

    @sql4=STUFF(@sql4,1,1,N'')



--执行

EXEC(N'DECLARE '+@sql1+N'

SELECT '+@sql2+N'

SELECT '+@sql3+N' FROM #

EXEC(N'+@sqlhead+N'+'+@sql4+N'+N'+@sqlend+N')')

--删除临时表

DROP TABLE #



/*--方法总结

    

    总结了前两种方法的优点，自动判断需要处理的变量数

--*/

--*/

dawugui 2010-10-20

打赏
举报

尝试组合了.

王向飞 2010-10-20

打赏
举报

原理就是把你的参数多分拆几次

sp_executesql 的参数nvarchar类型长度超过4000怎么解决？

相关推荐