基于用户输入表名动态查询记录的SQL实现求助

• 逻辑错误：原语句并未查询目标表的实际记录，内层查询仅从user_tables中匹配输入的表名并返回表名字符串，外层SELECT *本质只是查询这个字符串值，完全达不到“查询对应表全部记录”的需求。
• 语法冗余：(SELECT '&table_name' FROM dual)可直接简化为'&table_name'，无需嵌套子查询。

由于静态SQL无法动态指定表名（表名属于对象标识符，不能通过绑定变量直接替换），在Oracle中需通过动态SQL实现需求，以下是几种实用场景的方案：

场景1：SQL*Plus交互式查询 #

如果是在SQL*Plus或兼容工具中使用，可直接简化为：

SELECT * FROM &table_name;

• 执行时工具会自动提示输入表名，输入后完成变量替换并执行查询。
• 若表名是区分大小写创建的，输入时需加双引号，例如"MyCustomTable"。

场景2：PL/SQL存储过程/程序调用 #

如果需要在程序或存储过程中实现，使用EXECUTE IMMEDIATE实现动态查询：

DECLARE
    v_table_name VARCHAR2(128) := '&table_name'; -- 接收输入表名
    v_sql        VARCHAR2(4000);
    v_result     SYS_REFCURSOR;
BEGIN
    -- 先验证表是否存在，避免无效查询
    DECLARE
        v_exists NUMBER;
    BEGIN
        SELECT COUNT(1) INTO v_exists 
        FROM user_tables 
        WHERE table_name = UPPER(v_table_name);
        
        IF v_exists = 0 THEN
            RAISE_APPLICATION_ERROR(-20001, '表 ' || v_table_name || ' 不存在');
        END IF;
    END;

    -- 拼接并执行动态SQL
    v_sql := 'SELECT * FROM ' || v_table_name;
    OPEN v_result FOR v_sql;
    
    -- 此处可添加结果处理逻辑，比如输出到控制台或返回给调用方
END;
/

• 安全提示：通过先查询user_tables验证表名合法性，可避免SQL注入风险（若表名来自不可信输入，此步骤必不可少）。

场景3：通用结果处理（DBMS_SQL包） #

如果需要更灵活地处理动态结果集（比如动态遍历字段），可使用DBMS_SQL包，示例核心逻辑：

DECLARE
    v_table_name VARCHAR2(128) := '&table_name';
    v_cursor_id  INTEGER;
    v_col_count  INTEGER;
    v_desc_tab   DBMS_SQL.DESC_TAB;
BEGIN
    -- 验证表存在（同场景2）
    -- ...
    
    v_cursor_id := DBMS_SQL.OPEN_CURSOR;
    DBMS_SQL.PARSE(v_cursor_id, 'SELECT * FROM ' || v_table_name, DBMS_SQL.NATIVE);
    DBMS_SQL.DESCRIBE_COLUMNS(v_cursor_id, v_col_count, v_desc_tab);
    
    -- 绑定列变量、执行查询、获取结果的逻辑
    -- 具体实现可根据需求扩展
    DBMS_SQL.CLOSE_CURSOR(v_cursor_id);
END;
/

• 权限要求：执行用户必须拥有目标表的SELECT权限。
• 表名大小写：Oracle默认将表名转为大写存储，若表名是小写创建的，需用双引号包裹输入值。
• 注入防护：若表名来自外部输入，必须先通过user_tables验证合法性，禁止直接拼接未校验的输入值。

内容的提问来源于stack exchange，提问作者Kedar