R语言编写Oracle数据提取函数的语法问题求助

看起来你遇到的核心问题是没有正确将函数的输入参数嵌入到SQL字符串中，R不会自动解析字符串里的&input&这种写法，另外还有个小细节：测试调用时的1011APQ如果是字符串类型的站点编码，需要加引号传入，不然R会把它当成变量名报错。

下面给你两种解决方案，从基础修正到更安全的最佳实践：

方案1：基础字符串拼接（快速修正） #

用R的字符串拼接函数paste0()或者sprintf()把输入参数和SQL模板组合起来，注意如果SITE_CODE是字符型字段，要给参数加单引号：

library(RODBC)
con= odbcConnect(dsn = "DB", uid="morp101", pwd="abcdxyz1234",rows_at_time=500)

getsitename=function(input) {
  # 用paste0拼接SQL语句，把input变量插入到正确位置
  sql_query <- paste0("SELECT DISTINCT(SITE_NAME) FROM SITE_TABLE WHERE SITE_CODE = '", input, "'")
  sitename=sqlQuery(con, sql_query)
  return(sitename)
}

# 测试调用：注意1011APQ是字符串，要加引号
getsitename("1011APQ")

如果SITE_CODE是数值型字段，可以去掉单引号：

sql_query <- paste0("SELECT DISTINCT(SITE_NAME) FROM SITE_TABLE WHERE SITE_CODE = ", input)

方案2：参数化查询（推荐，更安全） #

直接拼接字符串存在SQL注入风险（比如输入包含特殊字符时可能破坏查询，甚至带来安全问题），更稳妥的方式是用参数化查询。可以借助RODBCext包来实现：

1. 先安装并加载包：

install.packages("RODBCext")
library(RODBCext)

2. 修改函数为参数化版本：

getsitename=function(input) {
  # 用?作为参数占位符
  sql_query <- "SELECT DISTINCT(SITE_NAME) FROM SITE_TABLE WHERE SITE_CODE = ?"
  # sqlExecute的data参数传入参数列表，fetch=TRUE表示返回查询结果
  sitename <- sqlExecute(con, sql_query, data = list(input), fetch = TRUE)
  return(sitename)
}

# 同样注意字符串参数要加引号
getsitename("1011APQ")

这种方法不需要手动处理引号，R会自动根据参数类型适配，同时彻底避免SQL注入问题，是生产环境中的推荐写法。

另外提醒下：数据库连接con最好在函数外初始化，或者在函数内处理连接的打开和关闭（避免长期占用连接），不过你当前的写法是可行的。

内容的提问来源于stack exchange，提问作者Varun