[通过不带管道的立即执行创建Oracle序列||运算符

Question

create sequence s1 ;

declare
    v_value    number;
    v_sql_stmt varchar2(4000);
    v_seq_name varchar2(30);
BEGIN
   v_seq_name:='S1'; -- **this is dynamic and the sequence will be passed in the proc as input parameter at runtime**
   v_sql_stmt:= 'select :v_seq_name'||'.nextval from dual' ; 
   EXECUTE IMMEDIATE v_sql_stmt INTO v_value USING v_seq_name ;

--**below is working but I dont want to do in this way because of sql injection issue, let me know how to fix the above**
--EXECUTE IMMEDIATE 'select ' || v_seq_name || '.nextval from dual' INTO v_value;

dbms_output.put_line(v_value);
end;
/

上面的代码抛出错误，请帮助修复。

如果您运行注释的代码，那么它将运行，但是我不想使用||。立即执行。我只想使用冒号：。

序列名称将在运行时传递。上面的代码将在以后转换为proc。

Answer 1

我了解您对SQL注入的关注。据我所知，表/列/序列名称不能用绑定变量指定。但是，您可以在执行不安全的代码之前进行简单的检查：

CREATE SEQUENCE s1;
CREATE SEQUENCE s2;

CREATE OR REPLACE FUNCTION p(seq_name VARCHAR2) RETURN NUMBER AS
    v_value    number;
    v_sql_stmt varchar2(4000);
    v_seq_name varchar2(128 BYTE);
BEGIN
  v_seq_name:= DBMS_ASSERT.SIMPLE_SQL_NAME(seq_name);
  v_sql_stmt:= 'select '||v_seq_name||'.nextval from dual'; 
  EXECUTE IMMEDIATE v_sql_stmt INTO v_value;
  RETURN v_value;
END p;
/

如果使用了有效的名称，那么一切都会按预期进行：

select p('s1') from dual;
1

select p('s2') from dual;
2

但是，如果seq_name不是有效的Oracle名称，则DBMS_ASSERT会引发异常：

select p('1; DROP TABLE x') from dual;

ORA-44003: invalid SQL name
ORA-06512: at "SYS.DBMS_ASSERT", line 215
ORA-06512: at "WFL.P", line 6
44003. 0000 -  "invalid SQL name"