C#中执行带参数的Oracle执行计划查询遇ORA-01780错误的解决

错误原因 #

Oracle的EXPLAIN PLAN语法中，FOR关键字后面必须跟字符串字面量形式的SQL语句，不支持绑定变量。你之前的代码把要分析的SQL语句通过:sqlScript参数传递，违反了这个语法规则，因此触发ORA-01780错误。

解决方案 #

方案1：直接拼接SQL（仅适用于SQL语句可控场景） #

如果sqlScript是你自己生成的、不存在用户输入的情况，可以直接把SQL语句拼接到EXPLAIN PLAN语句中，statementId仍保留参数化传递：

// 动态生成带目标SQL的EXPLAIN PLAN语句
private static string BuildExplainPlanSql(string targetSql)
{
    return $"EXPLAIN PLAN SET STATEMENT_ID = :statementId FOR {targetSql}";
}

// 调用代码
using (OracleCommand cmd1 = new OracleCommand(BuildExplainPlanSql(sqlScript), con))
{
    cmd1.Parameters.Add(new OracleParameter("statementId", statementId));
    cmd1.CommandTimeout = 6000;
    cmd1.ExecuteNonQuery();
}

⚠️ 注意：如果sqlScript包含用户输入内容，绝对不能用此方案，会引发SQL注入风险。

方案2：使用PL/SQL动态执行（安全通用方案） #

通过PL/SQL块的动态SQL功能，将目标SQL作为字符串传入，在数据库端拼接并执行EXPLAIN PLAN，同时处理单引号转义避免语法错误：

// 先处理目标SQL中的单引号，避免PL/SQL语法错误
sqlScript = sqlScript.Replace("'", "''");

// PL/SQL块脚本
private static readonly string sql = @"
DECLARE
    v_target_sql VARCHAR2(32767) := :sqlScript;
BEGIN
    EXECUTE IMMEDIATE 'EXPLAIN PLAN SET STATEMENT_ID = :stmtId FOR ' || v_target_sql
        USING :statementId;
END;";

// 调用代码
using (OracleCommand cmd1 = new OracleCommand(sql, con))
{
    cmd1.Parameters.Add(new OracleParameter("statementId", statementId));
    cmd1.Parameters.Add(new OracleParameter("sqlScript", sqlScript));
    cmd1.CommandTimeout = 6000;
    cmd1.ExecuteNonQuery();
}

这种方式既满足了EXPLAIN PLAN对字面量的要求，又能避免SQL注入风险，适合所有场景。

内容的提问来源于stack exchange，提问作者alinz