動態SQL：code that is executed dynamically。一般是根據用戶輸入或外部條件動態組合的SQL語句塊，能靈活的發揮SQL強大的功能，然而有時候在性能上不如靜態SQL，而且使用不恰當，往往會在安全方面存在隱患（SQL 注入式攻擊）。
動態SQL可以通過EXECUTE 或SP_EXECUTESQL兩種方式執行。
EXECUTE
執行 Transact-SQL 中的字符串或下列模塊之一：系統或用戶定義存儲過程、標量值用戶定義函數或擴展存儲過程。SQL Server 2005 擴展了 EXECUTE 語句，可用於向鏈接服務器發送命令，還可以顯式設置執行字符串或命令的上下文。
SP_EXECUTESQL
執行可以多次重複使用或動態生成的 Transact-SQL，其中可以包含嵌入參數。生成的語句在執行 SP_EXECUTESQL 語句時才編譯，隨後將編譯 stmt 中的內容，並將其作爲執行計劃運行。對數據庫上下文所作的更改只在 SP_EXECUTESQL 語句結束前有效。
如果只更改了語句中的參數值，則 sp_executesql 可用來代替存儲過程多次執行 Transact-SQL 語句。因爲 Transact-SQL 語句本身保持不變，僅參數值發生變化，SQL Server 查詢優化器可能重複使用首次執行時所生成的執行計劃。
一般來說，我們推薦優先使用SP_EXECUTESQL來執行動態SQL，一方面它更加靈活、可以有輸入輸出參數、另外一方面，查詢優化器更有可能重複使用執行計劃，提高執行效率，還有就是使用SP_EXECUTESQL能提高安全性。當然也不是說要完全擯棄EXECUTE，在特定場合下，EXECUTE比SP_EXECUTESQL更方便些，比如動態SQL字符串是VARCHAR類型、不是NVARCHAR類型。SP_EXECUTESQL 只能執行是Unicode的字符串或是可以隱式轉換爲ntext的常量或變量、而EXECUTE則兩種類型的字符串都能執行。
下面我們來對比看看EXECUTE 和SP_EXECUTESQL的一些細節。
一、 用法對比
EXECUTE 可以執行非Unicode或Unicode類型的字符串常量、變量。而SP_EXECUTESQL只能執行Unicode或可以隱式轉換爲ntext的字符串常量、變量。
EXECUTE (N'SELECT * FROM Groups'); --執行成功
EXECUTE ('SELECT * FROM Groups'); --執行成功
SP_EXECUTESQL N'SELECT * FROM Groups'; --執行成功
SP_EXECUTESQL 'SELECT * FROM Groups'; --執行出錯
EXECUTE 括號中只能是字符串變量、常量、或它們的連接組合，不能調用其它函數、存儲過程等。 如果要使用，需使用變量組合。
-- 錯誤例子
DECLARE @GroupName VARCHAR(50);
SET @GroupName = 'SuperAdmin';
EXECUTE ('SELECT * FROM Groups WHERE GroupName=''' + SUBSTRING(@GroupName, 1,5) + ''''); --'SUBSTRING' 附近有語法錯誤。
-- 正確例子
DECLARE @Sql VARCHAR(200);
DECLARE @GroupName VARCHAR(50);
SET @GroupName = 'SuperAdmin';
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=''' + SUBSTRING(@GroupName, 1,5) + ''''
--PRINT @Sql;
EXECUTE (@Sql);
動態批處理不能訪問定義在批處理中的局部變量 。 SP_EXECUTESQL 可以有輸入輸出參數，比EXECUTE靈活。
-- EXECUTE
DECLARE @Sql VARCHAR(200);
DECLARE @GroupName VARCHAR(50);
SET @GroupName = 'SuperAdmin';
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=@GroupName'
--PRINT @Sql;
EXECUTE (@Sql); --出錯：必須聲明標量變量 "@GroupName"。
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=' + QUOTENAME(@GroupName, '''')
EXECUTE (@Sql); --正確：
-- SP_EXECUTESQL
DECLARE @Sql NVARCHAR(200);
DECLARE @GroupName NVARCHAR(50);
SET @GroupName = 'SuperAdmin';
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=@GroupName'
PRINT @Sql;
EXEC SP_EXECUTESQL @Sql, N'@GroupName NVARCHAR',@GroupName -- 查詢無結果，沒有聲明參數長度
DECLARE @Sql NVARCHAR(200);
DECLARE @GroupName NVARCHAR(50);
SET @GroupName = 'SuperAdmin';
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=@GroupName'
PRINT @Sql;
EXEC SP_EXECUTESQL @Sql, N'@GroupName NVARCHAR(50)',@GroupName
二、 性能對比
下面我們來看看EXECUTE , SP_EXECUTESQL的執行效率，首先清除緩存執行計劃，然後改變用@GroupName值SuperAdmin、CommonUser、CommonAdmin分別執行三次，看看其使用緩存的信息。
DBCC FREEPROCCACHE;
DECLARE @Sql VARCHAR(200);
DECLARE @GroupName VARCHAR(50);
SET @GroupName = 'SuperAdmin'; --'CommonUser', 'CommonAdmin'
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=' + QUOTENAME(@GroupName, '''')
EXECUTE (@Sql);
SELECT cacheobjtype, objtype, usecounts, sql
FROM sys.syscacheobjects
WHERE sql NOT LIKE '%cache%' AND sql NOT LIKE '%sys.%';
接着我們看看SP_EXECUTESQL的執行效率.
DBCC FREEPROCCACHE;
DECLARE @Sql NVARCHAR(200);
DECLARE @GroupName NVARCHAR(50);
SET @GroupName = 'SuperAdmin'; --'CommonUser', 'CommonAdmin'
SET @Sql = 'SELECT * FROM Groups WHERE GroupName=@GroupName'
EXECUTE SP_EXECUTESQL @Sql, N'@GroupName NVARCHAR(50)', @GroupName;
SELECT cacheobjtype, objtype, usecounts, sql
FROM sys.syscacheobjects
WHERE sql NOT LIKE '%cache%' AND sql NOT LIKE '%sys.%';
可以看到，EXECUTE生成了三個獨立的 adhoc 執行計劃，而用SP_EXECUTESQL只生成了一次執行計劃，重複使用了三次，試想如果一個庫裏面，有許多這樣類似的動態SQL，而且頻繁執行，採用SP_EXECUTESQL就能提高性能。