EXECUTE IMMEDIATE 动态SQL需确保语句完整可执行、不带分号、值用绑定变量（USING）、结构（表名/列名）须拼接并校验；SELECT单行用INTO加异常处理，多行用BULK COLLECT；RETURNING INTO可获取DML返回值。
EXECUTE IMMEDIATE 在 PL/SQL 里怎么写才不报 ORA-00900
直接拼字符串执行 sql 是最常见出错点：语句没闭合、引号嵌套错乱、变量没转义，ora-00900: invalid sql statement 就来了。核心是——动态语句必须是完整可独立执行的 sql 片段，不能带分号，也不能缺关键字。
实操建议：
- 用
DBMS_OUTPUT.PUT_LINE先打印拼好的sql_stmt，复制到 SQL*Plus 或 SQL Developer 里手动跑一遍，确认语法无误再进EXECUTE IMMEDIATE - 避免用字符串拼接方式处理用户输入值；该用绑定变量的地方坚决不用拼接，否则有注入风险且容易因单引号崩掉
-
EXECUTE IMMEDIATE后面不能跟分号（;），但整个 PL/SQL 块结尾需要分号 —— 这个分号属于块，不是语句本身
INSERT/UPDATE/DELETE 动态执行时为什么绑定变量不生效
绑定变量只在 USING 子句中起作用，而且位置、类型、顺序必须严格匹配 SQL 字符串里的占位符。常见错误是把变量名当占位符用，比如写成 :emp_id 却没在 USING 里传 emp_id 变量。
实操建议：
- 占位符统一用
:1、:2这种位置式写法，对应USING中从左到右的参数顺序，避免命名混淆 - 所有绑定值必须是变量或表达式，不能是字面量（如
USING 123会报错，得写USING v_id，其中v_id := 123） - DML 动态语句不返回结果集，但能通过
RETURNING INTO拿回刚改的值，比如EXECUTE IMMEDIATE 'UPDATE emp SET sal = :1 WHERE id = :2 RETURNING name INTO :3' USING new_sal, emp_id, OUT v_name
SELECT 动态执行必须用 BULK COLLECT + INTO 吗
不是必须，但几乎必须。因为 EXECUTE IMMEDIATE 执行 SELECT 时，无法像静态 SQL 那样直接 INTO 单个变量（除非明确知道只返回一行一列）。否则会报 ORA-06502: PL/SQL: numeric or value error 或 ORA-01422: exact fetch returns more than requested number of rows。
实操建议：
- 查单行单列，用
INTO+ 异常捕获NO_DATA_FOUND和TOO_MANY_ROWS - 查多行，必须用
BULK COLLECT INTO配合集合类型（如TYPE t_names IS TABLE OF VARCHAR2(100)），否则运行时报错 - 不要在
BULK COLLECT后直接用COUNT判空，先检查集合是否被初始化（v_list.COUNT > 0前确保v_list不是NULL）
绑定变量能传表名或列名吗
不能。绑定变量只能替代值（value），不能替代对象名（table/column）、关键字或结构。试图写 EXECUTE IMMEDIATE 'SELECT * FROM :tbl' USING 'employees' 会报 ORA-00903: invalid table name。
实操建议：
- 表名、列名、WHERE 条件片段等结构类内容，只能字符串拼接，但必须做白名单校验（比如从
ALL_TABLES查是否存在该表） - 拼接前用
DBMS_ASSERT.SQL_OBJECT_NAME包一层，比如DBMS_ASSERT.SQL_OBJECT_NAME(p_table_name)，能防基础注入并提前暴露非法字符 - 如果逻辑复杂，优先考虑用视图或存储过程封装静态 SQL，而不是硬上动态拼接
最易忽略的是绑定变量和字符串拼接的边界：值用 USING，结构用拼接 —— 混用或错判类型，基本就卡在报错和静默结果不符之间反复横跳。
