如何在 SQL Server 中将参数值传递给存储过程而不是文本文本 [重复]

Question

这个问题在这里已经有了答案：

SQL CREATE LOGON - 不能使用@parameter 作为用户名（4 个回答）

去年关闭。

从最近的帖子（下）中采取下一步

• 如何在 SQL Server 中一次性授予对多个架构的访问权限

我创建了这个存储过程：

ALTER PROCEDURE dbo.CreateUser
    @loginName nvarchar(100),
    @userName nvarchar(100) ,
    @schemaName nvarchar(10)
AS
    SET NOCOUNT ON;

    IF NOT EXISTS (SELECT [name] FROM [sys].[database_principals] 
                   WHERE [TYPE] = N'S' AND [name] = @loginName)
    BEGIN
        CREATE LOGIN [@loginName] WITH PASSWORD = N'123', DEFAULT_DATABASE = [test], 
                     CHECK_EXPIRATION = OFF, CHECK_POLICY = OFF

        CREATE USER [@userName] FOR login [@loginName]

        GRANT SELECT, INSERT, UPDATE, DELETE ON SCHEMA :: [dbo] TO [@userName]
        GRANT SELECT, INSERT, UPDATE, DELETE ON SCHEMA :: [@schemaName] TO [@userName]
END

我像这样调用这个存储过程：

DECLARE @return_value int

EXEC    @return_value = [dbo].[CreateUser]
                        @loginName = N'testlogin1',
                        @userName = N'testUserLogin1',
                        @schemaName = N'itl'

SELECT 'Return Value' = @return_value

但是，这会引发错误：

在调试时，我发现它没有采用参数的值，而是采用文字的值。

如何在此处传递参数值以相应地使用这些值来创建登录、用户和访问权限？

谢谢！

Answer 1

这里的问题是您正在尝试使用变量来替换文字。 这不是 SQL 的工作方式（它不是脚本语言）。 例如，以下面的语句为例：

CREATE USER [@userName] FOR login [@loginName]

这将创建一个名为@userName的USER ，它链接到名为@loginName的LOGIN ，而不是名称为@userName的LOGIN值的USER ，名称为@loginName 。

对于这样的事情，您需要使用动态 SQL 并安全地注入您的参数。

ALTER PROCEDURE dbo.CreateUser @loginName sysname, --Changed data type throughout to correct one for objects
                               @userName sysname,
                               @schemaName sysname
AS
BEGIN

    SET NOCOUNT ON;
    IF NOT EXISTS (SELECT [name]
                   FROM [sys].[database_principals]
                   WHERE [type] = N'S'
                     AND [name] = @loginName)
    BEGIN
        DECLARE @SQL nvarchar(MAX),
                @CRLF nchar(2) = NCHAR(13) + NCHAR(10);

        SET @SQL = N'CREATE LOGIN ' + QUOTENAME(@loginName) + @CRLF +
                   N'    WITH PASSWORD = N''123'',' + @CRLF + --I HIGHLY recommend a better password choice...
                   N'         DEFAULT_DATABASE = [test],' + @CRLF +
                   N'         CHECK_EXPIRATION = OFF,' + @CRLF +
                   N'         CHECK_POLICY = OFF;' + @CRLF +
                   N'CREATE USER ' + QUOTENAME(@userName) + N' FOR LOGIN ' + QUOTENAME(@loginName) + N';' + @CRLF +
                   N'GRANT SELECT, INSERT, UPDATE, DELETE ON SCHEMA::[dbo] TO ' + QUOTENAME(@userName) + N';' + @CRLF +
                   N'GRANT SELECT,' + @CRLF +
                   N'      INSERT,' + @CRLF +
                   N'      UPDATE,' + @CRLF +
                   N'      DELETE' + @CRLF +
                   N'    ON SCHEMA::' + QUOTENAME(@schemaName) + @CRLF +
                   N'    TO ' + QUOTENAME(@userName) + N';';

        --PRINT @SQL; --Your debugging friend

        EXEC sys.sp_executesql @SQL;
    END;

END;