如何在R脚本中获取用户输入的STUDENT_ID并传入Oracle SQL查询

核心修改点 #

• 用交互方式获取用户输入的STUDENT_ID
• 使用参数化查询避免SQL注入风险
• 修正原脚本中的语法错误（连接参数、SQL格式）
• 完善资源释放逻辑

完整修正后的R脚本 #

library(RJDBC)

# 获取用户输入的STUDENT_ID
student_id_input <- readline(prompt = "请输入STUDENT_ID: ")

# 加载Oracle JDBC驱动
driver <- JDBC("oracle.jdbc.OracleDriver", classPath = "Documents/ojdbc6.jar")

# 建立数据库连接
conn <- dbConnect(
  driver,
  url = "jdbc:oracle:thin:@//database.hostname.com:port/service_name_or_sid",
  user = "username",
  password = "password"
)

# 构造参数化SQL（用:id作为占位符，避免直接拼接字符串）
sql_query <- "SELECT STUDENT FROM TABLE1 WHERE STUDENT_ID = :id AND STUDENT_CLASS = '10'"

# 执行查询并传入参数
student_data <- dbGetQuery(conn, sql_query, params = list(id = student_id_input))

# 将查询结果写入CSV文件（row.names=FALSE避免生成多余的行号列）
write.csv(student_data, "student_report.csv", row.names = FALSE)

# 关闭数据库连接，释放资源
dbDisconnect(conn)

关键说明 #

1. 参数化查询的必要性：绝对不要直接把用户输入拼接到SQL字符串里，这会导致严重的SQL注入漏洞。使用:id占位符+params参数传递值是安全的做法。
2. 输入处理：readline()会在控制台弹出输入提示，用户输入的内容会被直接作为参数传入查询。
3. 脚本修复：原脚本存在连接参数格式错误、SQL语法错误（WHERE子句后的多余逗号）、字符串引号冲突等问题，已全部修正。
4. 资源释放：查询完成后调用dbDisconnect()关闭连接，避免数据库连接资源浪费。

内容的提问来源于stack exchange，提问作者Kevin Tracey