PLSQL执行动态SQL提示‘Invalid character’的解决方法

你的代码触发"Invalid character"错误主要有几个核心问题，对应修正方案如下：

• INTO子句位置错误
  原代码把INTO VAR_L_COUNT写到了动态SQL字符串内部，而PLSQL中EXECUTE IMMEDIATE的INTO是独立子句，不属于动态SQL语句本身，必须放在字符串外部。

• 字符串拼接缺少空格
  拼接时INTO后、FROM前等位置没有空格，会生成语法非法的SQL（比如SELECT COUNT(*) INTO123FROM...），这也是触发错误的关键原因。

• 动态SQL末尾多余分号
  EXECUTE IMMEDIATE执行的SQL字符串不需要加分号，多余的分号会被判定为无效字符。

• 额外优化：规避SQL注入风险
  直接拼接变量值到SQL中存在SQL注入风险，还需要手动处理单引号转义问题，推荐使用绑定变量替代直接拼接。

修正后的代码：

EXECUTE IMMEDIATE 'SELECT COUNT(*) FROM ' || P_TABLE ||
                  ' WHERE ' || AMOUNT || ' > :1 AND EMPID = :2'
INTO VAR_L_COUNT
USING LIMIT_AMT, VAR_PI_EMPID;
RETURN VAR_L_COUNT;

修正说明： #

1. 将INTO VAR_L_COUNT移至EXECUTE IMMEDIATE语句末尾，作为独立的输出绑定子句
2. 在字符串拼接时补充必要空格，确保生成的SQL语法合法
3. 移除动态SQL字符串末尾的分号
4. 使用:1、:2作为绑定变量占位符，通过USING子句传入变量值，既避免SQL注入，又无需手动处理单引号转义

内容的提问来源于stack exchange，提问作者Karthiga