必须用绑定变量防注入，正确做法是只拼字段名和逻辑结构、不拼值，用占位符替代硬拼字符串，NULL值需用IS NULL分支或NVL处理，多条件时USING须按序传全参数，查多行须用REF CURSOR。
直接拼接字符串 + EXECUTE IMMEDIATE 是最常用方式，但必须用绑定变量防注入，否则就是生产事故。
动态 WHERE 条件拼接时怎么避免 SQL 注入
手动拼接 ' AND name = ''' || p_name || '''' 看似简单，实则危险：一旦 p_name 是 ' OR 1=1 --，整条查询就失控了。正确做法是把所有条件字段都转为绑定变量，不拼值只拼字段名和逻辑结构。
- 用占位符（如
:name、:age）代替硬拼字符串值 - WHERE 子句结构仍可拼接，例如：
sql_stmt := 'SELECT * FROM users WHERE 1=1'; IF p_name IS NOT NULL THEN sql_stmt := sql_stmt || ' AND name = :name'; END IF; -
EXECUTE IMMEDIATE执行时统一传参：USING p_name, p_age—— 参数顺序和占位符出现顺序严格对应 - 注意：NULL 值不能直接传给
:param做=判断，应改用IS NULL分支或 NVL 处理
多条件组合下如何组织 EXECUTE IMMEDIATE 的 USING 子句
USING 子句不支持“跳过”某个参数，所有绑定变量必须按出现顺序全部提供，哪怕某些条件没启用。常见错误是只传非空参数，导致 ORA-01008 “未绑定变量”。
- 推荐做法：先拼好完整 SQL 字符串，再收集所有可能用到的参数到一个列表中，统一传入
- 例如：
IF p_dept IS NOT NULL THEN sql_stmt := sql_stmt || ' AND dept_id = :dept'; END IF;，即使p_dept为 NULL，也要在USING中放它（Oracle 允许传 NULL） - 更安全写法：用
NVL(p_dept, -1)配合AND (dept_id = :dept OR :dept = -1)，避免条件分支漏传 - 不要试图用
USING IN OUT混用方向 —— 只有过程调用才需要IN OUT，纯查询用IN就够了
需要返回结果集时为什么不能只靠 EXECUTE IMMEDIATE
EXECUTE IMMEDIATE 本身不支持多行查询结果直接赋值，INTO 只能接单行，强行用于 SELECT ... FROM ... 多行会报 ORA-01422 “exact fetch returns more than requested number of rows”。
- 真正要查多行，得用
REF CURSOR+OPEN ... FOR - 动态 SQL 字符串照常拼，但执行方式变成：
OPEN p_cursor FOR sql_stmt USING p_name, p_status; - 游标变量类型必须提前声明：
TYPE t_cur IS REF CURSOR; p_cursor t_cur; - 别忘了在调用方（比如 Java 或 PL/SQL 调用块）里真正 FETCH，否则只是打开了个空游标
最易被忽略的是：动态 SQL 的语法检查发生在运行时，不是编译时。表名、列名写错、权限不足、绑定变量类型不匹配（比如把 VARCHAR2 当 NUMBER 传），全要等到执行那一刻才暴露 —— 所以测试必须覆盖所有条件分支，不能只测“主路径”。
