使用 EXECUTE IMMEDIATE 的动态 SQL 语法

Question

动态SQL更新语句如下：

EXECUTE IMMEDIATE 'UPDATE '||l_prefix||'CRS_CUSTOMERS SET CUSTOMER_SOURCE_REF_ID = '||i.CUSTOMER_REF_ID||' WHERE CUSTOMER_ID = '||i.CUSTOMER_ID;

l_prefix是表名前缀的参数，赋值为T_ i.CUSTOMER_REF_ID 和 i.CUSTOMER_ID 是从游标中获取的字段。

动态语句在获取数据时遇到错误ORA-00904: invalid identifier。

当以静态方式重写时，查询工作正常：

UPDATE T_CRS_CUSTOMERS SET CUSTOMER_SOURCE_REF_ID = i.CUSTOMER_REF_ID WHERE CUSTOMER_ID = i.CUSTOMER_ID;

我知道动态SQL的串联一定有问题，只是无法确定任何问题，因为编译很好。

Answer 1

警告：像这样的动态 SQL 容易受到 SQL 注入攻击。尽可能重写您的动态 SQL 以改用绑定变量。

而不是像这样构建动态 SQL：

L_SQL := 'UPDATE '||l_prefix||'CRS_CUSTOMERS SET CUSTOMER_SOURCE_REF_ID = '||i.CUSTOMER_REF_ID||' WHERE CUSTOMER_ID = '||i.CUSTOMER_ID;
EXECUTE IMMEDIATE L_SQL;

使用这个：

L_SQL := 'UPDATE '||l_prefix||'CRS_CUSTOMERS SET CUSTOMER_SOURCE_REF_ID = :REF_ID WHERE CUSTOMER_ID = :CUST_ID';
EXECUTE IMMEDIATE L_SQL USING i.CUSTOMER_REF_ID, i.CUSTOMER_ID;

这仍然会受到l_prefix 的 SQL 注入影响，但如果您以编程方式控制该值，则可能没问题。此外，将 SQL 的构建和 SQL 的执行分为两个步骤，使您可以更轻松地将 EXECUTE IMMEDIATE 替换为 DBMS_OUTPUT.PUT_LINE(SQL); 以检查查询是否存在语法错误。你也可以想DBMS_OUTPUT.PUT_LINE你的参数i.CUSTOMER_REF_ID和i.CUSTOMER_ID来检查它们的值。