oracle 不支持通过绑定变量（bind variables）动态传入表名等 sql 标识符；必须通过字符串拼接构造查询，但需严格校验表名合法性以防止 sql 注入。
oracle 不支持通过绑定变量（bind variables）动态传入表名等 sql 标识符；必须通过字符串拼接构造查询，但需严格校验表名合法性以防止 sql 注入。
在使用 cx_Oracle（或现代替代库 oracledb）执行 SQL 时，开发者常误以为表名可像查询参数一样用 :table_name 或 &table_name 绑定——这是错误的。Oracle 的绑定变量仅适用于值（value），例如 WHERE name = :name 中的 :name；而表名、列名、ORDER BY 子句等属于SQL 结构标识符（identifier），必须在语句编译前确定，无法延迟绑定。
✅ 正确做法是将表名安全地拼接到 SQL 字符串中。以下是推荐方式（按安全性与可读性排序）：
✅ 推荐方案：白名单校验 + 字符串格式化
import re
import cx_Oracle
def is_valid_table_name(name):
# 仅允许字母、数字、下划线，且必须以字母或下划线开头（符合 Oracle 命名规范）
return bool(re.fullmatch(r'^[a-zA-Z_][a-zA-Z0-9_]*$', name))
conn_str = "user/password@host:port/service"
conn = cx_Oracle.connect(conn_str)
cursor = conn.cursor()
table_name = "abctable"
if not is_valid_table_name(table_name):
raise ValueError(f"Invalid table name: {table_name}")
# 安全拼接（推荐使用 f-string 或 format）
sql = f"SELECT your_col_1, your_col_2 FROM {table_name}"
cursor.execute(sql)
for row in cursor:
print(row[0], "-", row[1])
cursor.close()
conn.close()
⚠️ 注意事项
- ❌ 禁止直接拼接用户输入：若 table_name 来自 Web 表单、API 请求等外部来源，未校验即拼接将导致严重 SQL 注入风险（如传入 "employees WHERE 1=1; DROP TABLE users --"）。
- ❌ c.execute("... from " + table_name) 和 "... from %s" % table_name 虽语法可行，但缺乏校验，不推荐生产环境使用。
- ❌ :table_name、&table_name、? 等绑定语法对表名完全无效，会触发 ORA-00903（invalid table name）或 ORA-01036（illegal variable name）错误。
- ✅ 若需支持带 schema 的表名（如 "scott.employees"），可扩展正则为 r'^[a-zA-Z_][a-zA-Z0-9_]*(\.[a-zA-Z_][a-zA-Z0-9_]*)?$'，并确保 schema 名同样受控。
? 替代思路：使用数据字典预验证
对于高安全要求场景，可查询 ALL_TABLES 或 USER_TABLES 确认表名真实存在：
cursor.execute(
"SELECT 1 FROM ALL_TABLES WHERE OWNER = :owner AND TABLE_NAME = :table_name",
owner="SCOTT", table_name=table_name.upper()
)
if not cursor.fetchone():
raise ValueError(f"Table '{table_name}' does not exist or is inaccessible.")
总之，动态表名不是“参数化查询”的适用场景，而是“受控元数据拼接”。核心原则是：永远校验，绝不信任，最小权限，白名单优先。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
