PL/SQL动态查询构建无结果且进程崩溃问题求助

问题根源分析 #

• 第一种写法的错误：绑定变量:x仅适用于查询条件的值，不能用来指定列名、表名这类数据库对象名。你把列名variable_1通过绑定变量传递，PL/SQL会将其当作普通字符串值处理，直接导致SQL语法错误，引发进程崩溃。
• 第二种写法的问题：
  • 缺少INTO子句接收查询结果，即便SQL执行成功，结果也无法赋值给plsql_result；
  • 直接拼接字符串存在SQL注入风险，且如果variable_2包含单引号等特殊字符，会直接触发语法错误。

正确写法 #

列名需要动态拼接，条件值用绑定变量传递，同时通过INTO接收结果：

plsql_request := 'SELECT ' || variable_1 || ' FROM TEST_TABLE WHERE ID = :y';
EXECUTE IMMEDIATE plsql_request INTO plsql_result USING variable_2;

额外注意事项 #

• 若variable_1是用户输入的变量，必须做合法性校验（比如检查是否为TEST_TABLE存在的列名），避免SQL注入；
• 确保plsql_result的数据类型和variable_1指定的列类型匹配，否则会出现类型转换错误；
• 字符串类型的variable_2通过绑定变量传递时，PL/SQL会自动处理单引号等特殊字符，无需手动拼接转义。

内容的提问来源于stack exchange，提问作者Filip Degenhart