Oracle不支持绑定变量替换表名，因解析器需在硬解析阶段确认对象存在及结构，必须用动态SQL；安全拼接须校验表名、加双引号、查ALL_TABLES验证，并用q'[]'提升可读性。
为什么不能直接用变量替换表名
Oracle 的 SELECT 语句不支持把表名写成绑定变量（比如 SELECT * FROM :table_name），运行时会报 ORA-00903: invalid table name。这不是权限或语法疏忽，是 SQL 解析器在硬解析阶段就要求表名必须是字面量——它得提前知道对象是否存在、列结构是否合法。
所以必须走动态 SQL 路线，但要注意：不是所有拼接都安全，也不是所有场景都适合。
用 EXECUTE IMMEDIATE 拼接表名的最小可行写法
核心是把表名拼进 SQL 字符串，再用 EXECUTE IMMEDIATE 执行。注意两点：表名要加双引号（防大小写/特殊字符问题），且必须校验来源——绝不能直接拼接用户输入。
- 表名来自内部逻辑（如按月分表：
'sales_202401'）可拼接，但需用DBMS_ASSERT.SQL_OBJECT_NAME过滤 - 拼接前先查
ALL_TABLES确认表存在，避免运行时报ORA-00942: table or view does not exist - 不要用
||直接连字符串和变量，容易漏空格或引号，推荐用q'[...]' || v_table_name || q'[...]提高可读性
DECLARE
v_table_name VARCHAR2(30) := 'SALES_202401';
v_sql VARCHAR2(500);
v_count NUMBER;
BEGIN
v_table_name := DBMS_ASSERT.SQL_OBJECT_NAME(v_table_name); -- 强制校验
v_sql := q'[SELECT COUNT(*) FROM ]' || v_table_name;
EXECUTE IMMEDIATE v_sql INTO v_count;
DBMS_OUTPUT.PUT_LINE('Count: ' || v_count);
END;
查询结果集返回给调用方的常见方式
如果需要把动态表的完整结果返回（比如给 Java 应用），不能用 EXECUTE IMMEDIATE ... INTO（只适合单行单列）。必须用游标：
- 声明
SYS_REFCURSOR类型的 OUT 参数 - 用
OPEN ... FOR打开动态 SQL 游标，而不是EXECUTE IMMEDIATE - 注意：游标里不能用绑定变量传表名，表名仍需拼接；但列值可以用绑定变量（防注入+提升共享池命中率）
CREATE OR REPLACE PROCEDURE get_sales_data(
p_month IN VARCHAR2,
p_result OUT SYS_REFCURSOR
) AS
v_table_name VARCHAR2(30) := 'SALES_' || p_month;
v_sql VARCHAR2(500);
BEGIN
v_table_name := DBMS_ASSERT.SQL_OBJECT_NAME(v_table_name);
v_sql := q'[SELECT id, amount, create_time FROM ]' || v_table_name ||
q'[ WHERE create_time >= :start_date]';
OPEN p_result FOR v_sql USING TO_DATE(p_month || '01', 'YYYYMMDD');
END;
最容易被忽略的三个坑
实际部署后出问题，八成卡在这几个点上：
- 分区表别名没处理：如果目标表是分区表且用了
PARTITION (p202401)，拼接时漏掉这部分会导致全表扫描，性能断崖式下跌 - 权限继承失效：存储过程以定义者权限（DEFINER’S RIGHT）运行，调用者可能没有对动态表的
SELECT权限，需显式授权或改用AUTHID CURRENT_USER - SQL 硬解析风暴：每次拼不同表名都会生成新执行计划，
V$SQL里堆满相似 SQL，共享池压力大。高频场景建议用固定视图 +DBMS_MVIEW.REFRESH替代纯动态表
真正难的不是拼字符串，而是让拼出来的那条 SQL 在各种边界条件下依然可查、可授权、可缓存。
