Oracle SQL Developer：如何结合参数值执行带参SQL无需手动替换？

不用手动替换:FIRSTNAME这类参数的核心思路是利用参数化查询或工具/数据库的内置参数绑定功能，以下是几种可行方案：

一、编程语言参数化查询（推荐，安全防注入） #

几乎所有主流编程语言的数据库驱动都支持参数化查询，自动完成参数与SQL的绑定，示例如下：

Python（以SQLite为例） #

import sqlite3

# 建立数据库连接
conn = sqlite3.connect("your_database.db")
cursor = conn.cursor()

# 带命名参数的SQL语句
sql = """
SELECT * FROM Database1
WHERE FIRSTNAME = :FIRSTNAME
AND LASTNAME = :LASTNAME
"""

# 参数字典
params = {"FIRSTNAME": "John", "LASTNAME": "SMITH"}

# 执行查询并获取结果
cursor.execute(sql, params)
results = cursor.fetchall()

# 处理结果（示例）
for row in results:
    print(row)

Java（JDBC方式） #

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;

public class ParamQueryDemo {
    public static void main(String[] args) throws Exception {
        // 数据库连接信息
        String dbUrl = "jdbc:mysql://localhost:3306/your_db";
        String dbUser = "root";
        String dbPwd = "your_password";

        try (Connection conn = DriverManager.getConnection(dbUrl, dbUser, dbPwd)) {
            // 带占位符的SQL（JDBC默认用?，部分驱动支持命名参数）
            String sql = """
                SELECT * FROM Database1
                WHERE FIRSTNAME = ?
                AND LASTNAME = ?
                """;
            
            try (PreparedStatement pstmt = conn.prepareStatement(sql)) {
                // 绑定参数
                pstmt.setString(1, "John");
                pstmt.setString(2, "SMITH");
                
                // 执行查询
                ResultSet rs = pstmt.executeQuery();
                // 处理结果集
                while (rs.next()) {
                    System.out.println(rs.getString("FIRSTNAME") + " " + rs.getString("LASTNAME"));
                }
            }
        }
    }
}

二、数据库客户端工具的参数绑定 #

常用数据库客户端都支持自动识别命名参数，执行时会弹窗让你输入参数值，无需手动替换：

• Oracle SQL Developer：直接执行带:参数名的SQL，工具自动弹出参数输入框
• DBeaver：执行SQL时自动识别:FIRSTNAME这类参数，提示输入对应值
• MySQL Workbench：可以先定义会话变量，再执行查询：

  SET @FIRSTNAME = 'John';
  SET @LASTNAME = 'SMITH';
  SELECT * FROM Database1 WHERE FIRSTNAME = @FIRSTNAME AND LASTNAME = @LASTNAME;
  

三、数据库PL/SQL块（以Oracle为例） #

如果要在数据库端直接执行，需要用PL/SQL块包裹，正确写法如下：

DECLARE
    v_firstname VARCHAR2(50) := 'John';
    v_lastname VARCHAR2(50) := 'SMITH';
    CURSOR c_data IS
        SELECT * FROM Database1
        WHERE FIRSTNAME = v_firstname
        AND LASTNAME = v_lastname;
    v_row Database1%ROWTYPE;
BEGIN
    OPEN c_data;
    LOOP
        FETCH c_data INTO v_row;
        EXIT WHEN c_data%NOTFOUND;
        -- 输出结果示例
        DBMS_OUTPUT.PUT_LINE(v_row.FIRSTNAME || ' ' || v_row.LASTNAME);
    END LOOP;
    CLOSE c_data;
END;
/

内容的提问来源于stack exchange，提问作者Rod