PL/SQL中USING关键字的作用是什么？如何转换为Snowflake函数？

USING是PL/SQL动态SQL（EXECUTE IMMEDIATE）的核心关键字，主要用途包括：

• 为动态SQL中的占位符（:xxx）绑定实际变量/参数，避免直接拼接字符串引发的SQL注入风险
• 支持三种参数传递模式：
  • IN：默认模式，将外部变量的值传入动态SQL（作为输入参数）
  • OUT：将动态SQL的执行结果赋值给外部变量（作为输出参数）
  • IN OUT：同时支持输入和输出
• 简化动态SQL的参数管理，提升代码的可读性和可维护性

示例代码中USING的作用分析 #

先看原PL/SQL代码的动态SQL逻辑：

CREATE OR REPLACE FUNCTION get_num_of_employees (p_loc VARCHAR2, p_job VARCHAR2) 
RETURN NUMBER
IS
  v_query_str VARCHAR2(1000);
  v_num_of_employees NUMBER;
BEGIN
  v_query_str := 'begin SELECT COUNT(*) INTO :into_bind FROM emp_' 
                 || p_loc
                 || ' WHERE job = :bind_job; end;';
  EXECUTE IMMEDIATE v_query_str
    USING out v_num_of_employees, p_job;
  RETURN v_num_of_employees;
END;

这里USING的作用分为两部分：

1. out v_num_of_employees：对应动态SQL中的:into_bind占位符，将SELECT COUNT(*)的结果赋值给外部变量v_num_of_employees，属于OUT模式绑定
2. p_job：对应动态SQL中的:bind_job占位符，将输入参数p_job的值传入动态SQL，属于默认的IN模式绑定

注意：表名emp_||p_loc是直接拼接的，因为PL/SQL中表名不能用绑定变量，只能通过字符串拼接生成，但业务参数p_job用绑定变量可以有效避免SQL注入。

转换为Snowflake函数 #

Snowflake中可以通过JavaScript UDF实现相同逻辑，用绑定参数替代字符串拼接，保障安全性：

CREATE OR REPLACE FUNCTION GET_NUM_OF_EMPLOYEES(P_LOC VARCHAR, P_JOB VARCHAR)
RETURNS NUMBER
LANGUAGE JAVASCRIPT
AS
$$
    // 构造动态SQL，用?作为参数占位符
    const query = `SELECT COUNT(*) FROM EMP_${P_LOC.toUpperCase()} WHERE JOB = ?`;
    // 创建语句并绑定参数
    const stmt = snowflake.createStatement({
        sqlText: query,
        binds: [P_JOB]
    });
    // 执行查询并获取结果
    const rs = stmt.execute();
    rs.next();
    return rs.getColumnValue(1);
$$;

说明： #

• Snowflake JavaScript UDF中用binds数组实现参数绑定，对应PL/SQL的USING，避免SQL注入
• 表名EMP_${P_LOC.toUpperCase()}做了大写转换，适配Snowflake默认的标识符大小写规则（如果你的表名是小写，可去掉toUpperCase()）
• 通过execute()执行动态SQL，getColumnValue(1)获取计数结果

内容的提问来源于stack exchange，提问作者Sherin Shaziya