如何将分号分隔参数转换为PL/SQL查询IN子句可用格式？

你之前的代码能生成正确的字符串格式，但直接把这个字符串放到IN()里会失效——PL/SQL会把整个p_code当作单个字符串值，而不是多个独立的匹配项。比如你生成的'AAAA.4545','AAAA.9089','AAAA.6756'，会被当成一个完整的字符串去匹配字段，而非三个独立的代码。

下面提供两种可行的解决方法：

方案1：动态SQL拼接执行 #

如果只是快速实现查询需求，可以用动态SQL把生成的字符串直接拼入执行语句：

DECLARE
  code VARCHAR2(100) := 'AAAA.4545;AAAA.9089;AAAA.6756';
  p_code VARCHAR2(200);
  v_result SYS_REFCURSOR;
BEGIN
  -- 生成带单引号分隔的格式字符串
  p_code := '''' || REPLACE(code, ';', ''',''') || '''';
  
  -- 用动态SQL执行查询
  OPEN v_result FOR 'SELECT * FROM your_table WHERE your_column IN (' || p_code || ')';
  
  -- 这里可以添加结果处理逻辑，比如循环读取游标
  -- LOOP
  --   FETCH v_result INTO ...;
  --   EXIT WHEN v_result%NOTFOUND;
  --   DBMS_OUTPUT.PUT_LINE(...);
  -- END LOOP;
  -- CLOSE v_result;
END;
/

注意：这种方式存在SQL注入风险，如果code参数来自不可信来源，可能被注入恶意代码。同时要确保p_code的长度不超过OracleVARCHAR2的限制（不同版本上限为4000或32767）。

方案2：拆分字符串为集合（安全规范） #

更推荐的方式是把分号分隔的字符串拆成PL/SQL集合，再通过绑定变量查询，彻底避免SQL注入：

DECLARE
  code VARCHAR2(100) := 'AAAA.4545;AAAA.9089;AAAA.6756';
  TYPE code_list IS TABLE OF VARCHAR2(50);
  v_codes code_list;
  v_result SYS_REFCURSOR;
BEGIN
  -- 拆分字符串为集合
  SELECT REGEXP_SUBSTR(code, '[^;]+', 1, LEVEL)
  BULK COLLECT INTO v_codes
  FROM DUAL
  CONNECT BY REGEXP_SUBSTR(code, '[^;]+', 1, LEVEL) IS NOT NULL;
  
  -- 方式1：用MEMBER OF匹配集合
  OPEN v_result FOR 'SELECT * FROM your_table WHERE your_column MEMBER OF :1' USING v_codes;
  
  -- 方式2：用TABLE函数配合IN子句
  -- OPEN v_result FOR 'SELECT * FROM your_table WHERE your_column IN (SELECT COLUMN_VALUE FROM TABLE(:1))' USING v_codes;
  
  -- 结果处理逻辑...
END;
/

这种方式的优势：

• 完全规避SQL注入风险，参数以绑定变量形式传入
• 不受字符串长度限制，支持更多代码项
• 符合PL/SQL开发的最佳实践

内容的提问来源于stack exchange，提问作者Lizzie