存储过程中动态拼接sql，拼接单引号问题

最新推荐文章于 2024-06-29 16:35:06 发布

原创最新推荐文章于 2024-06-29 16:35:06 发布 · 8.4k 阅读

4 ·

CC 4.0 BY-SA版权

文章标签：

#动态拼接sql单引号问题

oracle问题解决专栏收录该内容

7 篇文章

订阅专栏

本文介绍了一个Oracle存储过程`mergerOrder`，该过程动态拼接SQL查询语句来处理传入的参数。当`v_ids`、`v_productCode`或`v_productCateCode`不为空时，会在查询条件中添加相应的过滤。在拼接字符串时，特别处理了单引号以避免SQL注入问题。存储过程最后打开游标执行SQL并打印结果。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

create or replace procedure mergerOrder(
      v_ids in varchar2,
      v_productCode in varchar2,
      v_productCateCode in varchar2) is
      type cur_type is ref cursor;
      cur_policy cur_type;

      rec_policy ecc_pln.order_detail2%rowtype;
      sqlStr varchar2(500);

begin
       sqlStr := 'select id ,order_number from ecc_pln.order_detail2 d where 1=1';
         if v_ids is not null then
           sqlStr := sqlStr || ' and d.id in( SELECT COLUMN_VALUE FROM TABLE(jomoo_oms.SPLIT('''||v_ids||''')))';
         end if;
         if v_productCode is not null then
           sqlStr := sqlStr || ' and d.material_code='''|| v_productCode||'''';
         end if;
         if v_productCateCode is not null then
           sqlStr := sqlStr || ' and d.product_ca_code=''' || v_productCateCode||'''' ;
         end if;
       Dbms_Output.put_line('sqlStr: '||sqlStr);

     open cur_policy for sqlStr;
         loop
          fetch cur_policy into rec_policy.id, rec_policy.order_number;
             exit when cur_policy%notfound;

         Dbms_Output.put_line('id:'||rec_policy.id|| ' order_number:'||rec_policy.order_number);

        end loop;
     close cur_policy;
end mergerOrder;