Oracle动态SQL实战：从防注入到DDL，避开那些“坑你没商量”的雷区
动态SQL，听起来是灵活应对复杂业务逻辑的利器，但用不好，分分钟变成系统里最脆弱的“阿喀琉斯之踵”。今天，我们就来聊聊那些在Oracle里使用动态SQL时，必须刻在脑子里的核心规则和常见陷阱。
EXECUTE IMMEDIATE 不能直接拼接变量值，必须用绑定变量
把变量值直接拼进SQL字符串，图省事？这简直是给系统埋下了一颗定时冲击波。且不说SQL注入这种安全噩梦，光是数据类型隐式转换失败，就够你喝一壶的。举个例子，用户姓名里带个单引号怎么办？拼接出来的SQL直接就语法错误了。更关键的是，每次执行都生成一个全新的SQL语句，Oracle优化器无法复用执行计划，数据库的软解析开销会直线上升，性能瓶颈往往就是这么来的。
所以，正确姿势永远是使用绑定变量。记住这几个要点：
- 占位符统一写成
:name这种格式，前面带冒号，别搞混了。 - 参数通过
USING子句按顺序传递，INTO子句则专门用来接收单行查询的结果。 - 批量操作（比如结合
FORALL）时，EXECUTE IMMEDIATE对绑定变量的支持有限，这时候可能需要考虑换用静态SQL或游标方案。
DECLARE v_sql VARCHAR2(200); v_name VARCHAR2(50) := 'Alice'; v_count NUMBER; BEGIN v_sql := 'SELECT COUNT(*) FROM employees WHERE last_name = :n'; EXECUTE IMMEDIATE v_sql INTO v_count USING v_name; DBMS_OUTPUT.PUT_LINE(v_count); END;
INSERT/UPDATE/DELETE 动态语句必须显式指定 USING，不能省略
这里有个常见的误解：以为只有 SELECT 语句才需要 INTO 和 USING。实际上，任何DML语句，只要包含了变量，就必须使用 USING 子句来绑定，否则就会抛出恼人的 ORA-01008: not all variables bound 错误。DML语句本身不需要 INTO，但如果你想获取修改后的数据，可以搭配 RETURNING 子句。
USING后面变量的顺序，必须和SQL字符串中:x占位符出现的顺序严格对应。- 如果同一个绑定变量名在SQL里多次出现，
USING里也只需要提供一次值。 RETURNING子句通常只适用于单行操作。想处理多行？那就得请出BULK COLLECT INTO了，前提是你的语句本身支持这种写法。
v_sql := 'UPDATE emp SET salary = salary * :r WHERE dept_id = :d RETURNING emp_id INTO :id'; EXECUTE IMMEDIATE v_sql USING 1.1, 10, OUT v_emp_id;
动态建表或 DDL 语句不能用绑定变量，但要注意权限和字符长度
到了DDL语句这里，规则又变了。CREATE TABLE、ALTER INDEX 这类操作，Oracle语法压根就不支持绑定变量。表名、列名、数据类型这些对象标识符，都得老老实实拼接进字符串。这时候，坑就来了：表名包含小写字母或者特殊字符却忘了加双引号、拼接后的SQL语句过长超过32KB限制、执行用户没有相应的创建权限却未做异常处理……每一个都可能让程序意外中止。
- 如果对象名包含小写字母或数字开头，务必用双引号包裹，例如
"myTable"，否则Oracle会默认将其转为大写，导致对象找不到。 - 拼接之前，强烈建议使用
DBMS_ASSERT.SQL_OBJECT_NAME这类函数对输入进行校验，这是防止SQL注入的最后一道防线，尤其是当对象名来自外部参数时。 - DDL执行失败会直接抛出异常，务必用
EXCEPTION块妥善捕获和处理诸如ORA-00942（表或视图不存在）、ORA-01031（权限不足）等常见错误。
v_sql := 'CREATE TABLE ' || DBMS_ASSERT.SQL_OBJECT_NAME(v_table_name) ||
' (id NUMBER, name VARCHAR2(50))';
EXECUTE IMMEDIATE v_sql;
PL/SQL 块动态执行要加 DECLARE 开头，且不能有分号结尾
有时候，我们需要动态执行一整段带有逻辑的PL/SQL代码块。这里有个细节极易出错：字符串里的代码块必须以 DECLARE 开头（即使没有变量声明），并且整个代码块字符串的末尾不能有分号。否则，你会收到一个 ORA-06550 错误，提示期待文件结束符。
- 动态块内部无法直接访问外部作用域的变量，所有值都必须通过绑定变量传入。
- 块内定义的标签（
<）在动态执行环境下是无效的，无法用于GOTO跳转。 - 调试时需注意，错误堆栈指向的是动态代码块内部的行号，而非你源程序的行号。一个实用的技巧是，在出错时先将完整的
v_sql字符串打印出来，再人工比对排查。
v_sql := 'DECLARE v_now DATE; BEGIN SELECT SYSDATE INTO v_now FROM DUAL; DBMS_OUTPUT.PUT_LINE(v_now); END;'; EXECUTE IMMEDIATE v_sql;
说到底，动态SQL的复杂性，就在于绑定变量和字符串拼接的边界需要时刻保持清醒。DDL必须拼接，DML必须绑定，而动态PL/SQL块又是另一套规则。关键在于理解Oracle解析器在哪个阶段进行变量替换。少写一个冒号，或者多加一个分号，都可能让语句在运行时突然崩溃，而这种错误在编译期是发现不了的。这才是最考验功底的地方。
