execute immediate必须配合using绑定变量，严禁拼接字符串；占位符需独立书写（如:d），顺序与using参数严格一致；表名列名等结构参数须用dbms_assert或白名单校验；in子句应使用member of或预设占位符。
EXECUTE IMMEDIATE必须配USING，不能拼字符串
只要EXECUTE IMMEDIATE后面跟着拼接的字符串，就等于把SQL执行权交给用户输入。比如'SELECT * FROM users WHERE name = ''' || user_input || ''''，当user_input是' OR 1=1 --时，整条语句直接失效防护。
安全写法只有一种：SQL字符串里所有值都用:name占位符，变量通过USING传入——Oracle 在解析阶段就锁定语句结构，运行时只代入数据，不重编译。
-
USING后变量顺序必须和占位符出现顺序严格一致，哪怕名字不同（:d对应dept_id） - 多个参数之间用逗号分隔：
USING val1, val2, val3，不是USING (val1, val2, val3) -
USING只能传PL/SQL变量（如VARCHAR2、NUMBER），不能传表达式（USING UPPER(name)非法，得先赋值再绑定）
IN子句不能直接绑数组，得用MEMBER OF或固定占位符
Oracle 不允许WHERE id IN (:a, :b, :c)这种写法在运行时动态展开——你传一个集合变量进去，会报ORA-01008: not all variables bound。
两种安全方案：
- 用嵌套表类型 +
MEMBER OF：WHERE id MEMBER OF :id_list，绑定sys.odcinumberlist(1, 5, 9) - 预设最大数量占位符（如最多10个）：
WHERE id IN (:1, :2, ..., :10)，未用位置传NULL，再加AND id IS NOT NULL过滤 - 千万别用
LISTAGG拼字符串再INSTR查，这等于绕开绑定重回高危区
表名、列名、排序字段不能绑，但也不能直接拼
绑定变量只适用于“值”，不适用于语法结构。试图写'SELECT * FROM ' || table_name，攻击者填emp; DROP TABLE dept; --就能执行任意命令。
结构类参数必须走白名单或校验函数：
- 用
DBMS_ASSERT.SIMPLE_SQL_NAME(table_name)——它会在非法字符（如分号、空格、点号）时抛异常，比正则更可靠 - 排序字段用映射表：
CASE WHEN :sort_by = 'name' THEN name END，配合白名单判断:sort_by是否在['name', 'created_at', 'status']中 - 别信
REPLACE(user_input, '''', '')这类过滤，Unicode变体和宽字节截断能轻松绕过
OPEN FOR也一样危险，绑定规则完全一致
OPEN cur FOR 'SELECT * FROM emp WHERE deptno = ' || dept_id和EXECUTE IMMEDIATE拼接一样高危——都是把用户输入混进SQL字符串上下文。
正确写法是：
OPEN cur FOR 'SELECT * FROM emp WHERE deptno = :d' USING dept_id;-
INTO只用于单行单列；多列用BULK COLLECT INTO - 游标变量绑定也遵循相同顺序、类型、变量约束，不能跳过某个占位符
真正容易被忽略的是：哪怕用了冒号，如果占位符是拼进字符串里的字面量（比如'WHERE deptno = :' || 'd'），Oracle 仍视为普通文本，不会触发绑定机制——绑定变量必须独立于字符串拼接之外。
