SQL Procedure mit paramterisierbaren Abfragefeldern

[heri]

wie geht schon wieder der Trick um in einer Procedure die benötigten Felder als Parameter abzufragen?

SQL-Code:

CREATE PROCEDURE MyTestProc
   @Fields varchar='%'
AS
BEGIN

  SELECT @Fields from tTable

END

gibt leider nicht das gewünscht Ergebnis

[sirius]

Dynamisches SQL?

[heri]

ahhh... ich hab's selber wieder gefunden:

SQL-Code:

CREATE PROCEDURE MyProcTest
@Fields varchar(30)
AS
BEGIN
DECLARE @SQLstmt varchar(200) 

  SET @SQLstmt = 'SELECT ' + @Fields + ' FROM tTable'
   
  EXEC(@SQLstmt) 

END

[heri]

und wer sich fragt "um himmels willen wieso so kompliziert" :

einen Tree kann man prima strukturiert in einer SQL Procedure aufbauen

jetzt war das Problem, dass ich zusätzlich zu den "Tree" Feldern: KeyId und ParentId unterschiedliche Felder im Ergebnis haben möchte

that's it!

[sirius]

Dynamisches SQL ist soweit kein Problem, bedenke aber SQL-Injection!

[heri]

was genau meinst du damit?

[sirius]

So wie die Procedure bisher da steht, kann man es nicht erklären. Die Frage ist, wie kommt @Fields an seinen Inhalt und wo kann dieser manipuliert werden?