唯一可靠路径是必须用OracleParameter且参数名不能拼接进SQL字符串；因OracleCommand只认显式添加的参数对象，不解析SQL文本中的占位符，拼接字符串会使用户输入直接参与SQL执行。
必须用 OracleParameter，且参数名不能拼接进 SQL 字符串——这是防注入唯一可靠路径。
为什么字符串拼接 + string.Format 或 $"..." 一定不安全
Oracle 对参数名解析非常严格：OracleCommand 只认显式添加的 OracleParameter 对象，不会对 SQL 文本做任何语法级“参数识别”。一旦你写成 cmd.CommandText = $"SELECT * FROM users WHERE name = '{input}'"，攻击者输入 ' OR 1=1 -- 就直接执行任意查询。
常见错误场景包括：
- 动态构建 WHERE 条件时用
StringBuilder拼接参数值 - 把用户输入直接塞进
IN (..)列表（如IN ('a','b','c')） - 用
string.Replace("@p", userValue)替换占位符
OracleParameter 的正确用法与命名陷阱
ODP.NET 要求参数名必须以冒号 : 或冒号加字母开头（如 :name、:id），但不支持 @name（那是 SQL Server 风格）。若误写成 @name，ODP.NET 不报错，而是把它当普通文本字面量处理，等于白加。
实操要点：
- SQL 中统一用
:param_name形式，如WHERE status = :status AND created_date > :since - 添加参数时，
cmd.Parameters.Add(new OracleParameter("status", statusValue))—— 名称字段填"status"（不含冒号），ODP.NET 自动匹配 - 避免重名：同一个
OracleCommand中不能有两个同名OracleParameter，否则抛ORA-01036: illegal variable name/number - 批量操作（如
INSERT ALL）仍需为每个绑定值单独添加OracleParameter，不可复用
特殊类型字段（CLOB/BLOB/DATE）的参数化注意事项
Oracle 的 CLOB 和 BLOB 类型在参数化时容易因长度或方向设置不当导致截断或空值；DATE 和 TIMESTAMP WITH TIME ZONE 则常因时区隐式转换引发逻辑错误。
建议做法：
-
CLOB：用OracleDbType.Clob显式指定类型，并确保传入的是string或OracleClob，不要用ToString()强转二进制流 -
DATE：始终用OracleDbType.Date，而非DbType.DateTime，后者可能被映射为TIMESTAMP，导致索引失效 - 时区字段：若数据库列是
TIMESTAMP WITH TIME ZONE，参数必须设为OracleDbType.TimeStampTZ，并传入DateTimeOffset实例，否则丢失时区信息
事务中参数化失败的典型表现与排查点
在 OracleTransaction 内执行多条带参数的语句时，如果某条语句的参数未正确绑定，往往不是立即报错，而是后续语句执行失败或返回空结果——因为 ODP.NET 默认启用语句缓存，错误参数可能被缓存复用。
关键检查项：
- 每个
OracleCommand实例必须独立调用Parameters.Clear()或新建对象，不能复用同一OracleCommand多次执行不同 SQL - 事务内所有命令必须共用同一个
OracleConnection，但不能共用同一个OracleCommand参数集合 - 若使用 Dapper + ODP.NET，确认 Dapper 版本 ≥ 2.0，旧版对
:named参数支持不完整，会静默降级为位置参数
最易被忽略的是：参数名大小写在 Oracle 中不敏感，但 ODP.NET 的参数匹配是大小写敏感的。写 SQL 用 :UserId，却 add 了 new OracleParameter("userid", value)，就会查不到值——它不会报错，只是当作未绑定处理。
