动态SQL中必须用绑定变量而非字符串拼接来防止SQL注入，所有外部输入需校验；EXECUTE IMMEDIATE要求绑定变量位置、数量、类型严格匹配；DBMS_SQL更灵活但易出错，95%场景用EXECUTE IMMEDIATE即可；权限需按调用者或定义者明确配置，避免隐式越权。
动态SQL里用 EXECUTE IMMEDIATE 时，为什么不能拼字符串
直接拼接用户输入的字符串，是安全漏洞的“经典入口”。比如，构造一条 SELECT * FROM users WHERE name = ''' || user_input || '''' 的语句，看起来没问题，但数据库引擎在执行时，并不会区分哪部分是代码、哪部分是数据。一旦 user_input 被填入 ' or 1=1 --，整条语句就彻底变了味，条件失效，导致全表数据泄露。这背后的风险在于，攻击者输入的恶意内容，直接成为了执行计划的一部分。
常见的报错可能是 ORA-00900: invalid SQL statement，但更危险的情况是，语句执行不报错，却悄无声息地越权访问了数据。因此，有几条原则必须守住：
- 所有来自外部的值——无论是HTTP参数、表单提交还是文件读取——都绝对不允许直接参与SQL字符串的拼接。
- 即便是拼接表名或列名这类“结构”信息，也必须通过白名单校验，或者使用Oracle提供的
DBMS_ASSERT包进行严格验证，依赖正则表达式做“大概过滤”是靠不住的。 - 确保
EXECUTE IMMEDIATE后面的SQL字符串本身，是一个静态的字面量，或者由完全可信的变量（如系统配置常量）构成。
绑定变量在 EXECUTE IMMEDIATE 中怎么写才生效
绑定变量的使用，远不是“加个冒号”那么简单。位置、数量、数据类型、传递顺序，必须严丝合缝地匹配。Oracle不会自动推导类型，语句中间出现几个 :x，就需要传递几个值；如果传了3个值但语句里只有2个占位符，立刻就会抛出 ORA-01008: not all variables bound 错误。
它的应用场景覆盖了几乎所有的DML操作，包括带有 RETURNING 子句的语句。要确保生效，有几个细节值得关注：
- 优先使用命名绑定（如
:name），这比位置绑定（如:1）更安全，能有效避免因参数顺序错位导致的逻辑错误。 - 输入值的类型必须与目标列兼容。试图给一个
NUMBER类型的列传递字符串，Oracle可能隐式转换失败。稳妥的做法是，要么在传入前显式调用TO_NUMBER()转换，要么直接用对应类型的PL/SQL变量来接收。 USING子句仅用于传递输入参数。如果需要接收输出，必须配合INTO或RETURNING INTO子句，并且接收输出的变量必须在之前已经声明。
来看一个标准的示例：
EXECUTE IMMEDIATE 'UPDATE emp SET salary = :sal WHERE id = :id' USING v_new_sal, v_emp_id;
DBMS_SQL 和 EXECUTE IMMEDIATE 绑定行为有啥实际差别
当SQL语句的结构在编译期完全无法确定时——比如查询的列名、WHERE条件的数量都动态变化——DBMS_SQL 这套更底层的API提供了灵活性。但代价是复杂度陡增：需要手动打开游标、解析语句、定义列、绑定变量、执行、提取结果，最后关闭游标，每一个环节都可能出错。
相比之下，EXECUTE IMMEDIATE 语法简洁，执行高效，但它要求SQL的“骨架”相对固定。性能上，对于简单语句，EXECUTE IMMEDIATE 通常更快，因为它产生的硬解析更少。而 DBMS_SQL 每次都要走完整的解析流程，如果忘记关闭游标，还容易引发 ORA-01000: maximum open cursors exceeded 这个经典错误。
- 一个实用的建议是：95%的动态SQL需求，
EXECUTE IMMEDIATE配合绑定变量就足以应对，不必为了追求“理论上的灵活性”而选择更复杂的DBMS_SQL。 - 如果确实需要使用
DBMS_SQL，务必用DBMS_SQL.CLOSE_CURSOR显式关闭游标，不能依赖异常处理来间接清理。 - 另外，
DBMS_SQL.BIND_VARIABLE对于CLOB、BLOB等大对象类型的支持有限，处理大文本时，优先考虑EXECUTE IMMEDIATE的USING子句。
存储过程中调用动态SQL，权限和定义者权限怎么不踩坑
动态SQL的权限检查发生在运行时，而非编译时。这里有个关键区别：如果存储过程使用默认的 DEFINER'S RIGHTS（定义者权限），它会以过程拥有者的身份执行，这可能让调用者绕过自身本不具备的对象权限。反之，如果使用 INVOKER'S RIGHTS（调用者权限），执行又会依赖于调用者的权限，可能导致过程在测试环境通过，上线后却报 ORA-00942: table or view does not exist。这个问题本身不属于SQL注入，但常常会掩盖真正的安全漏洞。
要避免踩坑，权限配置必须清晰：
- 避免在动态SQL中硬编码用户名或模式名（例如
'SELECT * FROM scott.emp'）。应该使用USER函数或通过参数传入模式名，并对传入值进行白名单校验。 - 如果过程必须访问其他用户的表，正确的做法是显式授予必要的权限（如
SELECT），而不是依赖DEFINER'S RIGHTS去实现隐式的越权访问。 - 绑定变量本身不解决权限问题，但它能让权限检查的焦点集中在“谁有权执行这条完整的语句”上，而不是模糊在“谁拼接了这条语句”的复杂上下文里。
说到底，真正的难点往往不在于写出正确的绑定语法，而在于能否清晰地界定“哪些数据属于外部输入”。从另一张配置表查询出的字段名、通过 UTL_HTTP 获取的JSON中的某个键值、甚至是格式化后的系统时间字符串——只要没有经过可信源的严格验证，都应该被视作潜在的注入点来对待。安全无小事，细节定成败。
