只要用户输入参与EXECUTE IMMEDIATE字符串拼接，就存在SQL注入风险；唯一可靠防御是所有值类参数必须用USING子句绑定，且绑定变量不能出现在SQL字符串中，表名列名等结构元素须经白名单或DBMS_ASSERT校验。
直接结论：只要用户输入参与了 EXECUTE IMMEDIATE 字符串拼接，就存在 SQL 注入风险；唯一可靠防御方式是——所有值类参数必须用 USING 子句绑定，且绑定变量不能出现在 SQL 字符串里。
为什么字符串拼接 + 单引号包裹 = 自动送检
Oracle 不会把 'SELECT * FROM users WHERE name = ''' || user_input || '''' 当成“带参数的语句”，它只看到一条完整拼好的字符串。一旦 user_input 是 ' OR 1=1 --，最终执行的就是：SELECT * FROM users WHERE name = '' OR 1=1 --'，条件恒真，全表可读。
常见错误现象：
-
ORA-00911: invalid character（其实是注入导致语句被截断） - 查出不该查的数据，但没报错、没日志——最危险
- 看似过滤了单引号，却挡不住 Unicode 引号、宽字节或注释嵌套绕过
真正安全的做法只有一种：EXECUTE IMMEDIATE 'SELECT * FROM users WHERE name = :1' USING user_input; —— 注意，:1 必须独立于字符串，不能是 ''' || ':1' || ''' 这种伪绑定。
绑定变量写法对不对，看三个硬指标
不是加了冒号就安全。以下任一不满足，USING 就没生效：
-
USING后面传的必须是已声明的 PL/SQL 变量（如VARCHAR2、NUMBER），不能是表达式（USING UPPER(name)❌）或函数调用结果 - SQL 字符串中
:1出现几次，USING就得传几个值；传 3 个但只有 2 个占位符 →ORA-01008: not all variables bound - 类型要兼容：给
NUMBER列传字符串，Oracle 可能隐式转换失败；建议显式TO_NUMBER()或用对应类型变量接收
命名绑定（:name）比位置绑定（:1）更稳妥，避免顺序错位。例如：USING v_sal, v_id 对应 :sal 和 :id，比 :1、:2 更易维护。
表名、列名、ORDER BY 字段不能用绑定变量
ORA-01027: bind variables not allowed for data definition operations 是 Oracle 的硬限制。绑定变量只能替代值（value），不能替代语法结构（syntax）。
所以这些写法全部非法：
EXECUTE IMMEDIATE 'SELECT * FROM :table_name' USING 'employees';EXECUTE IMMEDIATE 'SELECT :col FROM emp' USING 'ename';EXECUTE IMMEDIATE 'SELECT * FROM emp ORDER BY :sort' USING 'salary';
正确做法是白名单校验 + DBMS_ASSERT.SQL_OBJECT_NAME：
IF p_table NOT IN ('employees', 'departments') THEN
RAISE_APPLICATION_ERROR(-20001, 'Invalid table name');
END IF;
EXECUTE IMMEDIATE 'SELECT * FROM ' || DBMS_ASSERT.SQL_OBJECT_NAME(p_table);注意：校验必须在拼接前完成，不能放在 EXECUTE IMMEDIATE 后补救。
DML 动态执行后要不要 COMMIT？DDL 呢？
这是最容易忽略的事务陷阱：
- DML（
INSERT/UPDATE/DELETE）用EXECUTE IMMEDIATE执行后不会自动提交，必须显式COMMIT，否则其他会话不可见，且第二次执行可能因唯一约束报错（其实第一次已插入但未提交） - DDL（
CREATE/TRUNCATE/ALTER）用EXECUTE IMMEDIATE执行后自动提交，且不支持USING和INTO—— 拼接对象名时务必用DBMS_ASSERT防注入
典型错误：在存储过程中动态插入后没 COMMIT，调用方以为失败；或在 DDL 拼接中直接用用户输入，导致建任意表甚至删库。
复杂点在于：绑定变量只管“值”，不管“结构”；而结构校验没有捷径，白名单必须穷举、DBMS_ASSERT 必须调用、拼接时机必须卡死在可信变量之后。漏掉任一环，防护就形同虚设。
