如何执行PL/SQL动态SQL_EXECUTE IMMEDIATE语法与绑定变量-Oracle-PHP中文网

execute immediate 必须用绑定变量（:name）防注入和类型错误，ddl需拼接但须校验对象名，pl/sql动态块须以declare开头且无结尾分号。

execute immediate 不能直接拼接变量值，必须用绑定变量

动态 sql 执行时如果把变量直接拼进字符串，看似简单，实则埋下 sql 注入和类型转换失败的雷。比如 v_name := 'alice'，写成 'select * from users where name = ''' || v_name || ''''，遇到 v_name := 'o''connor' 就报错，更别说数字/日期类型隐式转换失败、执行计划无法复用等问题。

正确做法永远走绑定变量路径：

占位符统一用 :name（注意冒号），不要写成 &name 或 ${name}
USING 子句里按顺序列变量，INTO 子句只用于单行查询结果接收
批量操作（如 FORALL + EXECUTE IMMEDIATE）不支持绑定，得换用静态 SQL 或游标

DECLARE
  v_sql   VARCHAR2(200);
  v_name  VARCHAR2(50) := 'Alice';
  v_count NUMBER;
BEGIN
  v_sql := 'SELECT COUNT(*) FROM employees WHERE last_name = :n';
  EXECUTE IMMEDIATE v_sql INTO v_count USING v_name;
  DBMS_OUTPUT.PUT_LINE(v_count);
END;

INSERT/UPDATE/DELETE 动态语句必须显式指定 USING，不能省略

很多人以为只有 SELECT 需要 INTO 和 USING，其实 DML 语句只要带变量就必须用 USING，否则报 ORA-01008: not all variables bound。而且 DML 不需要 INTO，但可以加 RETURNING 拿回刚改的值。

USING 后面的变量顺序必须和 SQL 中 :x 出现顺序严格一致
如果 SQL 里同一个绑定名出现多次（如 WHERE a = :x AND b = :x），USING 里只需传一次
RETURNING 只支持单行操作；多行要用 BULK COLLECT INTO，但前提是语句本身支持（如 UPDATE ... RETURNING ... BULK COLLECT INTO）

v_sql := 'UPDATE emp SET salary = salary * :r WHERE dept_id = :d RETURNING emp_id INTO :id';
EXECUTE IMMEDIATE v_sql USING 1.1, 10, OUT v_emp_id;

动态建表或 DDL 语句不能用绑定变量，但要注意权限和字符长度

CREATE TABLE、ALTER INDEX 这类 DDL 语句不接受绑定变量——语法上就不允许。所有对象名、数据类型、约束名都得拼进去。这时候最常踩的坑是：表名含小写或特殊字符没加双引号、SQL 超过 32767 字节截断、当前用户缺 CREATE TABLE 权限却没捕获异常。

对象名若含小写或数字开头，必须用双引号包裹，如 "myTable"，否则自动转大写后找不到
拼接前用 DBMS_ASSERT.SQL_OBJECT_NAME 校验名称合法性，防注入（尤其来自参数输入）
DDL 执行失败会直接抛异常，务必用 EXCEPTION 捕获 ORA-00942、ORA-01031 等常见码

v_sql := 'CREATE TABLE ' || DBMS_ASSERT.SQL_OBJECT_NAME(v_table_name) || 
         ' (id NUMBER, name VARCHAR2(50))';
EXECUTE IMMEDIATE v_sql;

PL/SQL 块动态执行要加 DECLARE 开头，且不能有分号结尾

想动态跑一段带逻辑的 PL/SQL（比如条件判断、循环），不能只写 BEGIN ... END，必须补上 DECLARE（哪怕没声明变量）。另外整个块字符串末尾不能带分号，否则报 ORA-06550：expecting ‘end of file’。

如果块里要引用外部变量，只能靠绑定变量传值，不能直接访问作用域变量
块内不能用 > 标签跳转，标签在动态上下文里无效
错误堆栈显示的是动态块的第几行，不是原文件行号，调试时得打印完整 v_sql 再人工对齐

v_sql := 'DECLARE v_now DATE; BEGIN SELECT SYSDATE INTO v_now FROM DUAL; DBMS_OUTPUT.PUT_LINE(v_now); END;';
EXECUTE IMMEDIATE v_sql;

复杂点在于：绑定变量和字符串拼接的边界经常模糊——DDL 必须拼、DML 必须绑、PL/SQL 块里又得混用。哪段该拼、哪段该绑，取决于 Oracle 解析器在哪个阶段做变量替换。漏掉一个冒号，或者多写一个分号，都会让整条语句在运行时崩掉，而不是编译时报错。