oracle防sql注入唯一靠谱方法是使用绑定变量（using子句），严禁拼接用户输入；表名列名等结构信息须经dbms_assert校验或白名单限制，in子句需用member of或固定占位符处理。
oracle里防sql注入，唯一靠谱的路就是用绑定变量，别拼字符串。拼接哪怕一个单引号，都等于把数据库的执行权交出去。
EXECUTE IMMEDIATE 必须配 USING，不能拼 user_input
PL/SQL里动态执行SQL，EXECUTE IMMEDIATE 后面的SQL字符串必须是静态的，所有外部值——比如表单传来的 user_name、dept_id——只能走 USING 子句传入。
- 错：
EXECUTE IMMEDIATE 'SELECT * FROM emp WHERE name = ''' || user_name || '''';—— 一旦user_name是' OR 1=1 --，整张表就出来了 - 对：
EXECUTE IMMEDIATE 'SELECT * FROM emp WHERE name = :n' USING user_name;—— 数据库只把user_name当值，不参与语法解析 -
USING的参数顺序、数量、类型必须和 SQL 中占位符严格一致；:n是位置无关的命名占位符，但 Oracle 仍按出现顺序匹配 - 多个参数时别漏逗号：
USING val1, val2, val3，不是USING (val1, val2, val3)
IN 子句不能直接绑数组，得用集合或预定义占位符
WHERE id IN (:a, :b, :c) 这种写法看着方便，但实际参数个数不确定时会崩。Oracle 不支持运行时动态展开绑定列表。
- 常见错误：想用
USING my_list把一个变长数组塞进IN，结果报ORA-01008: not all variables bound - 安全做法一：用嵌套表类型 +
MEMBER OF，例如WHERE id MEMBER OF :id_list，:id_list绑定sys.odcinumberlist(1,2,3) - 安全做法二：固定最多 N 个参数（如最多 10 个），SQL 写成
WHERE id IN (:1,:2,...,:10)，未用的传NULL，再在WHERE加id IS NOT NULL过滤 - 千万别用
LISTAGG拼字符串再INSTR查，那是绕开绑定、重回高危区
表名、列名这类“结构”信息不能绑，但也不能随便拼
绑定变量只适用于值（WHERE 条件、SET 赋值等），不适用于对象名。但直接拼 table_name 或 order_by_col 一样会出事。
- 错：
EXECUTE IMMEDIATE 'SELECT * FROM ' || user_table;—— 攻击者填emp; DROP TABLE dept; --就完了 - 正确姿势：白名单校验 +
DBMS_ASSERT.SIMPLE_SQL_NAME，例如DBMS_ASSERT.SIMPLE_SQL_NAME(user_table)，它会抛异常拦住非法字符 - 别信正则过滤，
REGEXP_LIKE(user_table, '^[a-zA-Z][a-zA-Z0-9_]*$')挡不住 Unicode 变体或绕过技巧 - 如果真要动态字段排序，用
CASE预置逻辑：ORDER BY CASE WHEN :sort_by = 'name' THEN name END，再配合白名单判断:sort_by
最常被忽略的一点：绑定变量本身不解决权限越界问题。即使用了 USING，如果存储过程用的是定义者权限（DEFINER’S RIGHT）且没做行级控制，攻击者仍可能查到不该看的数据。绑定只是堵住语法注入，不是万能访问控制开关。
