Oracle动态SQL防注入必须白名单控制结构（如表名、列名、条件关键词）并由PL/SQL层绑定变量传值，字符串拼接无论转义或多层校验均不安全。
直接拼接 Oracle SQL 字符串，哪怕加了单引号转义、Replace("'", "''") 或前端校验，都不能防注入。Oracle 的 EXECUTE IMMEDIATE、DBMS_SQL 或 ADO.NET 层的 OracleCommand.CommandText 拼接，只要把用户输入混进 SQL 字符串里，就等于把数据库的执行权交给了攻击者。
为什么 Oracle 动态 SQL 特别容易中招
Oracle 对动态 SQL 的容忍度比 SQL Server 更高，但防御意识反而更弱。很多开发者误以为“Oracle 不支持 UNION SELECT”或“; 不能堆叠执行”，就放松警惕——其实 Oracle 支持 WITH 子句注入、XMLTABLE 行内执行、UTL_INADDR.get_host_name() 外带、甚至通过 DBMS_SCHEDULER 触发远程命令。更关键的是，Oracle 的绑定变量语法（:param）和 SQL Server 的 @param 不兼容，很多人照搬 SQL Server 写法，结果参数根本没生效。
- 拼接后 SQL 被 Oracle 解析为一条语句，所有字符串内容都参与语法分析 —— 用户输
' OR 1=1 AND SYS_CONTEXT(''USERENV'',''SESSION_USER'') = ''HR_ADMIN''，照样能绕过权限检查 -
OracleParameter只对OracleCommand的Parameters集合生效；如果用了EXECUTE IMMEDIATE 'SELECT * FROM emp WHERE name = ''' || :name || ''''这种 PL/SQL 拼接，:name是 PL/SQL 变量，不是 ADO.NET 参数，OracleParameter压根不接管 - 排序字段、表名、列名、
WHERE条件片段这些“元信息”无法用绑定变量 —— Oracle 不允许ORDER BY :sort_col，必须拼
哪些地方必须用白名单硬控，不能靠“参数化”
绑定变量只能保护“值”，不能保护“结构”。以下三类输入，必须拒绝任意字符串，只接受预设枚举：
-
ORDER BY后的列名：比如只允许"EMP_NAME"、"SALARY"、"HIREDATE"，用switch或字典映射，禁止传入"EMP_NAME ASC, (SELECT PASSWORD FROM USERS WHERE ROWNUM=1) --" - 表名/视图名：如查询来源是
"EMP"、"DEPT"、"EMP_VW"，用const string[] validTables = { "EMP", "DEPT" };校验，不接受"EMP WHERE 1=1 UNION SELECT ..." - 动态
WHERE条件关键词：比如搜索类型选“模糊匹配”还是“精确匹配”，对应生成LIKE或=，而不是让用户传入操作符字符串
真要拼接，怎么让 Oracle 自己做“参数化”
当业务强依赖动态 SQL（比如报表引擎、通用查询平台），又无法避免拼接时，唯一靠谱路径是把参数绑定交给 Oracle PL/SQL 层，而不是在 C# 字符串里拼。核心是：C# 只传原始值 + 固定模板，由 Oracle 执行时绑定。
- 用
OracleCommand执行匿名 PL/SQL 块，把用户输入作为 PL/SQL 变量传入，再在块内用EXECUTE IMMEDIATE ... USING绑定：cmd.CommandText = @" BEGIN EXECUTE IMMEDIATE 'SELECT * FROM ' || :table_name || ' WHERE status = :status' INTO :result USING :table_name, :status; END;";注意：这里:table_name仍需白名单校验，但:status是安全的绑定值 - 封装一个
SafeDynamicQuery方法，强制要求所有可变部分走白名单，所有值部分走OracleParameter，并统一用OracleDbType.Varchar2显式声明长度，防止隐式转换绕过 - 禁用
DBMS_SQL的PARSE+BIND_VARIABLE组合 —— 它虽然支持绑定，但解析阶段已暴露 SQL 结构，且异常堆栈会泄露表结构，生产环境应禁用
最容易被忽略的两个 Oracle 特有坑
很多团队防住了基础注入，却栽在 Oracle 自身机制上：
-
NLS_DATE_FORMAT影响参数绑定：如果连接字符串没配pooling=true; min pool size=1; max pool size=10;，且数据库级NLS_DATE_FORMAT是'DD-MON-RR'，而 C# 传DateTime值时没显式指定OracleDbType.Date，Oracle 可能按会话格式解析字符串，导致绑定失效或报ORA-01843: not a valid month - 绑定变量名大小写敏感：Oracle 默认把未加双引号的绑定变量转成大写，但如果你在 SQL 里写了
WHERE id = :Id（首字母大写），而 C# 添加参数用的是cmd.Parameters.Add("id", ...)（小写），这个参数就完全不会被绑定 —— 错误静默，查不到数据，但无异常
真正安全的动态 SQL 不是“怎么拼得更巧”，而是“哪些坚决不拼”和“哪些必须由 Oracle 在执行时绑定”。白名单控制结构，绑定变量控制值，再加上连接池和 NLS 设置的显式约束，才能堵住 Oracle 场景下最隐蔽的注入口。
