ref cursor 本身不支持动态列名或动态 select 列表，必须使用弱类型 sys_refcursor 配合 execute immediate + open for 构造完整合法 sql 字符串，且需白名单校验参数、客户端动态读取列名。
REF CURSOR 本身不支持动态列名或动态 SELECT 列表
Oracle 的 SYS_REFCURSOR 是一个指向结果集的指针，它绑定的是**执行时已确定结构的查询结果**。你不能在 OPEN 语句里用变量拼接列名（比如 OPEN cur FOR 'SELECT ' || col_list || ' FROM t'），PL/SQL 会直接报错 ORA-00900 或 ORA-06550：invalid SQL statement。
真正能“动态列”的路径只有一条：用 EXECUTE IMMEDIATE + OPEN ... FOR dynamic_sql，但前提是——
- 列名、数量、数据类型必须在运行前可预测（例如来自元数据表
ALL_TAB_COLUMNS） - 你得自己构造合法的静态字符串（不是拼 SQL 字符串后直接执行）
- 客户端（如 C#、Java）必须按实际返回的列结构取值，不能硬编码字段名
用 EXECUTE IMMEDIATE OPEN FOR 实现有限动态列
常见场景是：根据输入参数决定是否包含某些字段（如审计字段 created_by、updated_time），或按业务规则开关计算列（如 discounted_price）。这时可写分支逻辑：
CREATE OR REPLACE PROCEDURE get_user_data_dynamic( p_include_audit IN VARCHAR2 DEFAULT 'N', p_cursor OUT SYS_REFCURSOR ) AS v_sql VARCHAR2(4000); BEGIN v_sql := 'SELECT id, name, email'; <p>IF p_include_audit = 'Y' THEN v_sql := v_sql || ', created_by, updated_time'; END IF;</p><p>v_sql := v_sql || ' FROM users WHERE status = ''ACTIVE''';</p><p>OPEN p_cursor FOR v_sql; -- ✅ 合法：v_sql 是完整 SELECT 字符串 END;</p>
注意点：
-
v_sql必须是完整、语法正确的 SELECT 语句；不能只拼列名再加FROM分两段 - 别忘了对输入参数做白名单校验（比如只允许
'Y'/'N'），防止 SQL 注入 - 返回的
ResultSet列数和列名每次可能不同，C# 端要用rs.GetColumnName(i)动态读取，不能写死rs.GetString("created_by")
强类型 REF CURSOR 无法用于动态列
如果你在包头里定义了强类型游标，比如：
TYPE user_cursor_type IS REF CURSOR RETURN users%ROWTYPE;
那它就锁死了结构：必须返回 users 表所有列，且顺序、类型、长度都固定。一旦你试图用 OPEN cur FOR SELECT id, name FROM users，就会报 ORA-06504：PL/SQL: Return types of Result Set variables or query do not match。
所以动态列场景下，只能用弱类型的 SYS_REFCURSOR 或自定义的弱类型游标（如 TYPE generic_cursor IS REF CURSOR），绝不能用 RETURN 表名%ROWTYPE 或 RETURN 记录类型。
C# 客户端怎么安全读取动态列结果集
关键不是“怎么绑定”，而是“怎么避免字段不存在异常”。示例片段：
using (var reader = cmd.ExecuteReader())
{
while (reader.Read())
{
// ❌ 危险：reader["created_by"] 可能根本不存在
// ✅ 安全：先检查列是否存在
int colIndex = reader.GetOrdinal("created_by");
string createdBy = colIndex >= 0 ? reader.GetString(colIndex) : null;
<pre class="brush:php;toolbar:false;">// 或更通用：遍历所有列
for (int i = 0; i <p>}
}</p>容易被忽略的一点：即使存储过程里用了 EXECUTE IMMEDIATE，Oracle 仍会在编译时验证整个 PL/SQL 块语法，但不会验证动态 SQL 字符串内容。这意味着错别字（比如把 created_by 写成 create_by）要到运行时才暴露——你得靠日志或单元测试覆盖典型参数组合来捕获这类问题。
