Oracle PL/SQL中如何将逗号分隔字符串用于IN子句？

以下是几种可行的实现方案，适配不同Oracle版本和安全需求：

方案1：动态SQL拼接（参数可控场景） #

如果你的params变量内容是安全可控的（不会包含恶意SQL代码），可以直接将逗号分隔字符串转换为带单引号的IN子句列表，拼接成动态SQL执行：

declare
    l_today date := sysdate;
    company varchar2(30):='info'; 
    howmany INTEGER;
    params varchar2(10000):= 'color-1,color-2';
    v_sql varchar2(2000);
begin
    -- 将逗号分隔字符串转换为带单引号的列表，比如'color-1','color-2'
    params := '''' || replace(params, ',', ''',''') || '''';
    v_sql := 'select count(*) into :howmany from toys where colour in (' || params || ')';
    execute immediate v_sql using out howmany;
    
    dbms_output.put_line(howmany);
    dbms_output.put_line(params);
exception when others then
    dbms_output.put_line(sqlerrm);
end;
/

方案2：使用XMLTABLE拆分字符串（Oracle 11gR2+） #

这种方法无需拼接SQL，更安全，通过内置的XMLTABLE将逗号分隔字符串拆分为多行数据，再关联查询：

declare
    l_today date := sysdate;
    company varchar2(30):='info'; 
    howmany INTEGER;
    params varchar2(10000):= 'color-1,color-2';
begin
    select count(*) into howmany
    from toys t
    join xmltable(
        'tokenize($str, ",")'
        passing params as "str"
        columns color varchar2(30) path '.'
    ) x on t.colour = x.color;
    
    dbms_output.put_line(howmany);
    dbms_output.put_line(params);
exception when others then
    dbms_output.put_line(sqlerrm);
end;
/

方案3：REGEXP_SUBSTR + CONNECT BY拆分字符串（兼容老版本Oracle） #

如果你的Oracle版本不支持XMLTABLE，可以用正则拆分+递归查询来拆分字符串：

declare
    l_today date := sysdate;
    company varchar2(30):='info'; 
    howmany INTEGER;
    params varchar2(10000):= 'color-1,color-2';
begin
    select count(*) into howmany
    from toys t
    join (
        select regexp_substr(params, '[^,]+', 1, level) as color
        from dual
        connect by level <= regexp_count(params, ',') + 1
    ) x on t.colour = x.color;
    
    dbms_output.put_line(howmany);
    dbms_output.put_line(params);
exception when others then
    dbms_output.put_line(sqlerrm);
end;
/

注意事项 #

• 方案1存在SQL注入风险，仅当params是可信来源时使用；方案2、3更安全，优先选择。
• 如果拆分后的字符串包含特殊字符（比如逗号、单引号），需要提前处理转义逻辑。

内容的提问来源于stack exchange，提问作者nick