declare @Script varchar(8000)
set @Script='select * from '+@tablename
exec(@Script)
Это называется "динамический SQL". Его использование чревато дырами в защите. Если приведенный фрагмент является частью триггера или хранимой процедуры, то 'select * from '+@tablename выполняется вне контекста этой хранимой процедуры/триггера и совсем не с правами создавшего триггер/процедуру, а с правами того, кто эту процедуру ВЫПОЛНЯЕТ (то есть с правами пользователя). Получается, что вам нужно открывать непосредственный доступ ко всем таблицам, чтобы под учетной записью любого пользователя подобный скрипт мог выполниться без ругательств о недостаточных правах. Это в свою очередь предоставляет фактически всем пользователям возможность выполнить практически любой SQL-запрос, включая самые зловредные и разрушительные.