ストアドプロシージャでプリペアドステートメントを使用するにはどうすればよいですか？

MySQLのストアドプロシージャ内でプリペアドステートメント（PREPARE／EXECUTE）を使用したい場合は、必ず BEGIN ～ END のブロック内に記述する必要があります。プロシージャ本体の外に記述すると構文エラーになるため注意しましょう。

基本の流れ

1. CONCAT関数などでSQL文を文字列として組み立てる … 実行したいクエリをユーザー変数に格納します。
2. PREPARE文でSQL文を準備する … 文字列化したSQLをプリペアドステートメントとして登録します。
3. EXECUTE文で実行する … 準備したステートメントを実行して結果を取得します。

例：テーブル名を引数にして全レコードを取得する

ここでは、テーブル名をストアドプロシージャのパラメータとして渡すと、そのテーブルからすべてのレコードを取得できるプロシージャ「tbl_detail」を作成してみます。

mysql> DELIMITER //
mysql> CREATE PROCEDURE tbl_detail(tab_name VARCHAR(40))
    -> BEGIN
    -> SET @A := CONCAT('SELECT * FROM', ' ', tab_name);
    -> PREPARE stmt FROM @A;
    -> EXECUTE stmt;
    -> END //
Query OK, 0 rows affected (0.00 sec)

プロシージャの作成が完了したら、CALL文でテーブル名を引数に指定して呼び出します。すると、指定したテーブルの全レコードが表示されます。

mysql> DELIMITER ;
mysql> CALL tbl_detail('Student');
+------+--------+
| Id   | Name   |
+------+--------+
|    1 | Ram    |
|    2 | Shyam  |
|    3 | Gaurav |
+------+--------+
3 rows in set (0.00 sec)
Query OK, 0 rows affected (0.03 sec)

コードのポイント解説

• SET @A := CONCAT(...) … 受け取ったテーブル名をもとに「SELECT * FROM テーブル名」というSQL文を動的に組み立て、ユーザー変数 @A に格納しています。
• PREPARE stmt FROM @A … ユーザー変数に入ったSQL文を、名前付きのプリペアドステートメント「stmt」として準備します。
• EXECUTE stmt … 準備済みのステートメントを実行し、結果セットを返します。
• DELIMITER // … プロシージャ定義内のセミコロン（;）がMySQLクライアントに解釈されないよう、一時的に区切り文字を「//」へ変更しています。定義後は「DELIMITER ;」で元に戻すのを忘れないようにしましょう。

このように、ストアドプロシージャとプリペアドステートメントを組み合わせれば、テーブル名や条件を動的に変更できる柔軟な処理を実装できます。ただし、外部入力をそのままSQL文に組み込むとSQLインジェクションの危険があるため、渡す値の検証を行うことも重要です。