Oracle防SQL注入唯一靠谱方法是用绑定变量（USING子句），严禁拼接用户输入；表名列名等结构信息须经DBMS_ASSERT校验或白名单限制，IN子句需用MEMBER OF或固定占位符处理。
Oracle里防SQL注入，唯一靠谱的路就是用绑定变量，别拼字符串。拼接哪怕一个单引号，都等于把数据库的执行权交出去。
EXECUTE IMMEDIATE 必须配 USING，不能拼 user_input
PL/SQL里动态执行SQL，EXECUTE IMMEDIATE后面的SQL字符串必须是静态的，所有外部值——比如表单传来的user_name、dept_id——只能走USING子句传入。
- 错：
EXECUTE IMMEDIATE 'SELECT * FROM emp WHERE name = ''' || user_name || '''';——一旦user_name是' OR 1=1 --，整张表就出来了 - 对：
EXECUTE IMMEDIATE 'SELECT * FROM emp WHERE name = :n' USING user_name;——数据库只把user_name当值，不参与语法解析 -
USING的参数顺序、数量、类型必须和 SQL 中占位符严格一致；:n是命名占位符，但 Oracle 仍按出现顺序匹配，不是靠名字查 - 多个参数时别漏逗号：
USING val1, val2, val3，不是USING (val1, val2, val3)
IN 子句不能直接绑数组，得用 MEMBER OF 或固定占位符
WHERE id IN (:a, :b, :c)这种写法看着方便，但实际参数个数不确定时会崩。Oracle 不支持运行时动态展开绑定列表。
- 常见错误：想用
USING my_list把一个变长数组塞进IN，结果报ORA-01008: not all variables bound - 安全做法一：用嵌套表类型 +
MEMBER OF，例如WHERE id MEMBER OF :id_list，:id_list绑定sys.odcinumberlist(1,2,3) - 安全做法二：固定最多 N 个参数（如最多 10 个），SQL 写成
WHERE id IN (:1,:2,:3,:4,:5,:6,:7,:8,:9,:10)，未用的传NULL，再在WHERE加id IS NOT NULL过滤 - 千万别用
LISTAGG拼字符串再INSTR查，那是绕开绑定、重回高危区
表名、列名这类“结构”信息不能绑，但也不能随便拼
绑定变量只适用于值（WHERE条件、SET赋值等），不适用于对象名。但直接拼table_name或order_by_col一样会出事。
- 正确姿势：白名单校验 +
DBMS_ASSERT.SIMPLE_SQL_NAME，例如DBMS_ASSERT.SIMPLE_SQL_NAME(user_table)，它会抛异常拦住非法字符 - 别信正则过滤，挡不住 Unicode 变体或绕过技巧
- 如果真要动态字段排序，用
CASE预置逻辑，再配合白名单判断 -
DBMS_ASSERT.SQL_OBJECT_NAME仅适用于对象名校验，不能用于WHERE条件值
绑定变量本身不解决权限越界问题
即使用了USING，如果存储过程用的是定义者权限（DEFINER'S RIGHT）且没做行级控制，攻击者仍可能查到不该看的数据。绑定只是堵住语法注入，不是万能访问控制开关。
- 最常被忽略的一点：动态SQL中，即使用了绑定变量，若底层视图或策略没限制数据可见范围，攻击者仍可通过合法语句拖走全部记录
- 调用者权限（
INVOKER'S RIGHT）更适合多租户场景，但需注意权限继承链是否可控 - RETURNING INTO 和 OUT 参数必须显式声明方向，
USING IN dept_id, OUT emp_name不能省略IN/OUT
