在Oracle中执行动态SQL的几种方法

在一般的sql操作中，sql语句基本上都是固定的，如：
SELECT t.empno,t.ename  FROM scott.emp t WHERE t.deptno = 20;
但有的时候，从应用的需要或程序的编写出发，都可能需要用到动态SQl，如：
当 from 后的表 不确定时，或者where 后的条件不确定时，都需要用到动态SQL。

一、使用动态游标实现

1、声明动态游标
TYPE i_cursor_type IS REF CURSOR;
2、声明游标变量
my_cursor i_cursor_type;
3、使用游标
n_deptno:=20;
dyn_select := 'select empno,ename from emp where deptno='||n_deptno;
OPEN my_cursor FOR dyn_select;
LOOP 
  FETCH my_cursor INTO n_empno,v_ename;
  EXIT WHEN my_cursor%NOTFOUND;
  --用n_empno,v_ename做其它处理
  --....
END LOOP;
CLOSE dl_cursor;
4、小结：动态游标可以胜任大多数动态SQL的需求了，使用简洁方便居家旅行之必备杀人放火之法宝。

二、使用 EXECUTE IMMEDIATE

最早大家都使用DBMS_SQL包，但是太太麻烦了，最终都放弃了。但是自从有了EXECUTE IMMEDIATE之后，但要注意以下几点：
EXECUTE IMMEDIATE代替了以前Oracle8i中DBMS_SQL package包.它解析并马上执行动态的SQL语句或非运行时创建的PL/SQL块.动态创建和执行SQL语句性能超前，EXECUTE IMMEDIATE的目标在于减小企业费用并获得较高的性能，较之以前它相当容易编码.尽管DBMS_SQL仍然可用，但是推荐使用EXECUTE IMMEDIATE,因为它获的收益在包之上。 

 使用技巧

1. EXECUTE IMMEDIATE将不会提交一个DML事务执行，应该显式提交
 如果通过EXECUTE IMMEDIATE处理DML命令，那么在完成以前需要显式提交或者作为EXECUTE IMMEDIATE自己的一部分. 如果通过EXECUTE IMMEDIATE处理DDL命令,它提交所有以前改变的数据

2. 不支持返回多行的查询,这种交互将用临时表来存储记录(参照例子如下)或者用REF cursors.

3. 当执行SQL语句时，不要用分号，当执行PL/SQL块时，在其尾部用分号.

4. 在Oracle手册中，未详细覆盖这些功能。下面的例子展示了所有用到Execute immediate的可能方面.希望能给你带来方便.

5. 对于Forms开发者,当在PL/SQL 8.0.6.3.版本中，Forms 6i不能使用此功能.

EXECUTE IMMEDIATE用法例子

1. 在PL/SQL运行DDL语句

 begin
  execute immediate 'set role all';
 end;

2. 给动态语句传值(USING 子句)

 declare
  l_depnam varchar2(20) := 'testing';
  l_loc    varchar2(10) := 'Dubai';
  begin
  execute immediate 'insert into dept values  (:1, :2, :3)'
    using 50, l_depnam, l_loc;
  commit;
 end;

3. 从动态语句检索值(INTO子句)

 declare
  l_cnt    varchar2(20);
 begin
  execute immediate 'select count(1) from emp'
    into l_cnt;
  dbms_output.put_line(l_cnt);
 end;

4. 动态调用例程.例程中用到的绑定变量参数必须指定参数类型.黓认为IN类型,其它类型必须显式指定

 declare
  l_routin   varchar2(100) := 'gen2161.get_rowcnt';
  l_tblnam   varchar2(20) := 'emp';
  l_cnt      number;
  l_status   varchar2(200);
 begin
  execute immediate 'begin ' || l_routin || '(:2, :3, :4); end;'
    using in l_tblnam, out l_cnt, in out l_status;

  if l_status != 'OK' then
     dbms_output.put_line('error');
  end if;
 end;

5. 将返回值传递到PL/SQL记录类型;同样也可用%rowtype变量

 declare
    type empdtlrec is record (empno  number(4),ename  varchar2(20),deptno  number(2));
    empdtl empdtlrec;
 begin
    execute immediate 'select empno, ename, deptno '||'from emp where empno = 7934'
    into empdtl;
 end;

 6. 传递并检索值.INTO子句用在USING子句前

 declare
   l_dept    pls_integer := 20;
   l_nam     varchar2(20);
   l_loc     varchar2(20);
 begin
    execute immediate 'select dname, loc from dept where deptno = :1'
       into l_nam, l_loc
       using l_dept ;
 end;

7. 多行查询选项

.对此选项用insert语句填充临时表，用临时表进行进一步的处理,也可以用REF cursors纠正此缺憾.
 
 declare
  l_sal   pls_integer := 2000;
 begin
  execute immediate 'insert into temp(empno, ename) ' ||
                   '          select empno, ename from emp ' ||
                   '          where  sal > :1'
    using l_sal;
  commit;
 end;

       对于处理动态语句,EXECUTE IMMEDIATE比以前可能用到的更容易并且更高效.当意图执行动态语句时，适当地处理异常更加重要.应该关注于捕获所有可能的异常.

应老婆要求写的这篇博客。

大家基本上都知道如何使用 MyBatis 执行任意 SQL，使用方法很简单，例如在一个 XXMapper.xml 中：

<select id="executeSql" resultType="map">
    ${_parameter}
</select>

你可以如下调用：

sqlSession.selectList("executeSql", "select * from sysuser where enabled = 1");

或者你可以在 XXMapper.java 接口中定义如下方法：

List<Map> executeSql(String sql);

然后使用接口调用方法：

xxMapper.executeSql("select * from sysuser where enabled = 1");

上面这些内容可能都会，下面在此基础上再复杂一点。

假如像上面SQL中的enabled = 1我想使用参数方式传值，也就是写成 enabled = #{enabled}，如果你没有遇到过类似这种需求，可能不明白为什么要这么写，举个例子，要实现一种动态查询，可以在前台通过配置 SQL，提供一些查询条件就能实现一个查询的功能（为了安全，这些配置肯定是开发或者实施做的，不可能让用户直接操作数据库）。

针对这个功能，使用 MyBatis 实现起来相当容易。配置 SQL 肯定要执行，用上面讲的这种方式肯定可以执行 SQL，如何提供参数呢？参数就是enabled = #{enabled}中的#{enabled}部分。如果再多一些条件，一个配置好的 SQL 如下：

select * from sysuser 
where enabled = #{enabled} 
and userName like concat('%',#{userName},'%')

这种情况下，该怎么用 MyBatis 实现呢？
首先 XML 中修改如下：

<select id="executeSql" resultType="map">
    ${sql}
</select>

接口中的方法修改为：

List<Map> executeSql(Map map);

然后调用方法：

Map map = new HashMap();
//这里的 sql 对应 XML 中的 ${sql}
map.put("sql", "select * from sysuser "
        + " where enabled = #{enabled} "
        + " and userName like concat('%',#{userName},'%')");
//#{enabled}
map.put("enabled", 1);
//#{userName}
map.put("userName", "admin");
//接口方式调用
List<Map> list = xxMapper.executeSql(map);
//sqlSession方式调用
sqlSession.selectList("executeSql", map);

有了这个SQL之后，就可以将 enabled 和 userName 作为条件提供给用户。这两个条件显然是必填的。如果是可选的，那该怎么写？

也许有人想到了是不是可以用 MyBatis 中的动态 SQL，使用<if>标签等等？

再回答这个问题前，我们先看处理动态 SQL 的 DynamicSqlSource 中的代码：

@Override 
public BoundSql getBoundSql(Object parameterObject) {
    DynamicContext context = new DynamicContext(configuration, parameterObject);
    rootSqlNode.apply(context);
    SqlSourceBuilder sqlSourceParser = new SqlSourceBuilder(configuration);
    Class < ?>parameterType = 
                parameterObject == null ? Object.class: parameterObject.getClass();
    SqlSource sqlSource = sqlSourceParser.parse(context.getSql(), 
                parameterType, context.getBindings());
    BoundSql boundSql = sqlSource.getBoundSql(parameterObject);
    for (Map.Entry < String, Object > entry: context.getBindings().entrySet()) {
        boundSql.setAdditionalParameter(entry.getKey(), entry.getValue());
    }
    return boundSql;
}

MyBatis 处理动态 SQL 时，所有动态 SQL 的标签都会处理为 SqlNode （这里的rootSqlNode）对象，包含${}的也会处理为 TextSqlNode 对象，在上面方法的前两行，就是 MyBatis 处理动态 SQL 的地方。

因此如果我们在${sql} 中的内容包含嵌套的${}和<if>,<where>等标签时，他们在 MyBatis 解析 XML 为 SqlNode 对象时，XML <select> 元素包含的内容只有${sql}，只有${sql}会被解析，在运行时这个参数字符串中可能包含的${}和<if>,<where>等标签，但是这都发生在 MyBatis 解析后，因此当这些内容作为字符串中的一部分出现时，他们不会被特殊处理，他们只是SQL中的一部分，只是原样输出（由于数据库不认会报错）无法被处理，因此没法通过 MyBatis 自带的这种方式来写动态 SQL。

提示
在上面的代码中：

sqlSourceParser.parse(context.getSql(), parameterType, context.getBindings());

这一段代码是处理动态参数(#{})的
这个处理在动态 SQL 处理之后，
因此可以在 SQL 中使用这种类型的参数。

既然不能用 MyBatis 动态 SQL 方式，该怎么实现动态 SQL 呢？

这里提供一个简单的思路，在 SQL 中使用模板标记语言来实现动态SQL（例如freemarker)，在 SQL 交给 MyBatis 执行之前，使用模板对 SQL 进行处理生成最终执行的 SQL（需要避免处理#{}参数），将这个SQL交给 MyBatis 执行。

举一个Freemarker模板的例子，仍然以上面的SQL为基础：

select * from sysuser 
where 1 = 1
<#if enabled??>
enabled = #{enabled} 
</#if>
<#if userName?? && userName != ''>
and userName like concat('%',#{userName},'%')
</#if>

注意，这里的<#if>是Freemarker的元素。在不考虑SQL注入的情况下，上面的SQL还可以写成：

select * from sysuser 
where 1 = 1
<#if enabled??>
enabled = #{enabled} 
</#if>
<#if userName?? && userName != ''>
and userName like '%${userName}%'
</#if>

区别就是'%${userName}%'，因为 Freemarker 也会处理 ${userName}，也会用实际的值来替换这里的参数。

在前面调用的代码中，这里修改如下：

//#{enabled}
map.put("enabled", 1);
//#{userName}
map.put("userName", "admin");
//这里的 sql 对应 XML 中的 ${sql}
String sql = "上面两个复杂SQL中的一个";
//使用Freemarker处理sql
sql = processSqlByFreemarker(sql, map);
//将处理后的sql放到map中
map.put("sql", sql);
//执行方法
List<Map> list = xxMapper.executeSql(map);

注：processSqlByFreemarker方法就是根据map中的数据来处理sql字符串，实现方式可以自己搜索。

到这里，一个不是很复杂的动态SQL功能就实现了。

---

不知道有没有更贪心的人，你会不会想，上面返回值都是List<Map>类型，能不能返回一个我指定的实体类呢？

例如在map中：

map.put("class", "tk.mybatis.model.SysUser");

能不能通过这种方式让返回值变成SysUser类型呢？由于这篇文章耗时已经太长，这里就提供一个方案，不深入。

你可以使用拦截器实现，获取 MappedStatement 后，复制一份，然后修改 resultMaps中resultMap的type属性为你指定的class类型就能实现，说起来容易，实际操作起来能有 PageHelper 分页插件 1/10 左右的工作量。

因为这篇是应媳妇要求所写，所以假如媳妇有最后的这个需求，我就协助媳妇实现这个插件，然后再共享出来（这个插件已经实现，参考 MyBatis 返回动态结果类型插件 ）。

注：如果是动态的update,insert,delete 语句，可以将上面的<select>改为<update>(不需要使用<delete>和<insert>），返回值用int，比 select 的情况容易很多。

存储过程中执行动态Sql语句

　　MSSQL为我们提供了两种动态执行SQL语句的命令，分别是EXEC和sp_executesql;通常,sp_executesql则更具有优势，它提供了输入输出接口，而EXEC没有。还有一个最大的好处就是利用sp_executesql，能够重用执行计划，这就大大提供了执行性能，还可以编写更安全的代码。EXEC在某些情况下会更灵活。除非您有令人信服的理由使用EXEC，否侧尽量使用sp_executesql.

1.EXEC的使用

     EXEC命令有两种用法，一种是执行一个存储过程，另一种是执行一个动态的批处理。以下所讲的都是第二种用法。

　　下面先使用EXEC演示一个例子,代码1

 

按 Ctrl+C 复制代码

 

按 Ctrl+C 复制代码

 

注：这里的EXEC括号中只允许包含一个字符串变量，但是可以串联多个变量，如果我们这样写EXEC：

  

EXEC('SELECT TOP('+ CAST(@TopCount AS VARCHAR(10)) +')* FROM '+

 　　　　　　　　　　QUOTENAME(@TableName) +' ORDER BY ORDERID DESC');

 

      SQL编译器就会报错，编译不通过，而如果我们这样：

  

EXEC(@sql+@sql2+@sql3);

 

编译器就会通过；
 
      所以最佳的做法是把代码构造到一个变量中，然后再把该变量作为EXEC命令的输入参数，这样就不会受限制了。
 
      EXEC的缺点是不提供接口，这里的接口是指，它不能执行一个包含一个带变量符的批处理，如下

代码

DECLARE @TableName VARCHAR(50),@Sql NVARCHAR(MAX),@OrderID INT;
SET @TableName = 'Orders';
SET @OrderID = 10251;
SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

 　　　　'WHERE OrderID = @OrderID ORDER BY ORDERID DESC'
EXEC(@sql);

      关键就在SET @sql这一句话中，如果我们运行这个批处理，编译器就会产生一下错误

  Msg 137, Level 15, State 2, Line 1 
  必须声明标量变量 "@OrderID"。

      使用EXEC时，如果您想访问变量，必须把变量内容串联到动态构建的代码字符串中，如：

SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

 　　'WHERE OrderID = '+CAST(@OrderID AS VARCHAR(10))+' ORDER BY ORDERID DESC'

 

      串联变量的内容也存在性能方面的弊端。SQL Server为每一个的查询字符串创建新的执行计划，即使查询模式相同也是这样。为演示这一点，先清空缓存中的执行计划

  DBCC FREEPROCCACHE (这个不是本文所涉及的内容，您可以查看MS的MSDN)

      将代码1运行3次，分别对@OrderID 赋予下面3个值，10251，10252，10253。然后使用下面的代码查询

 

  SELECT cacheobjtype,objtype,usecounts,sql FROM sys.syscacheobjects WHERE sql NOT LIKE '%cach%' AND sql NOT LIKE '%sys.%' 

 

      点击F5运行，我们可以看到，每执行一次都要产生一次的编译，执行计划没有得到充分重用。

      EXEC除了不支持动态批处理中的输入参数外，他也不支持输出参数。默认情况下，EXEC把查询的输出返回给调用者。例如下面代码返回Orders表中所有的记录数

 

 DECLARE @sql NVARCHAR(MAX)
 SET @sql = 'SELECT COUNT(ORDERID) FROM Orders';
 EXEC(@sql);

    然而，如果你要把输出返回给调用批处理中的变量，事情就没有那么简单了。为此，你必须使用INSERT EXEC语法把输出插入到一个目标表中，然后从这表中获取值后赋给该变量，就像这样：

代码

 DECLARE @sql NVARCHAR(MAX),@RecordCount INT
 SET @sql = 'SELECT COUNT(ORDERID) FROM Orders';
 CREATE TABLE #T(TID INT);
 INSERT INTO #T EXEC(@sql);
 SET @RecordCount = (SELECT TID FROM #T)
 SELECT @RecordCount
 DROP TABLE #T2

 

2.sp_executesql的使用

sp_executesql命令在SQL Server中引入的比EXEC命令晚一些，它主要为重用执行计划提供更好的支持。

为了和EXEC作一个鲜明的对比,我们看看如果用代码1的代码，把EXEC换成sp_executesql,看看是否得到我们所期望的结果

 

代码

 DECLARE @TableName VARCHAR(50),@sql NVARCHAR(MAX),@OrderID INT ,@sql2 NVARCHAR(MAX);
 SET @TableName = 'Orders ';
 SET @OrderID = 10251;
 SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) + ' WHERE OrderID = '+CAST(@OrderID AS VARCHAR(50)) + ' ORDER BY ORDERID DESC'
 EXEC sp_executesql @sql

 

 

    注意最后一行；事实证明可以运行；

sp_executesql提供接口

    sp_executesql命令比EXEC命令更灵活，因为它提供一个接口，该接口及支持输入参数也支持输出参数。这功能使你可以创建带参数的查询字符串，这样就可以比EXEC更好的重用执行计划,sp_executesql的构成与存储过程非常相似，不同之处在于你是动态构建代码。它的构成包括：代码快，参数声明部分，参数赋值部分。说了这么多，还是看看它的语法：

 

  EXEC sp_executesql

   @stmt= <statement>,--类似存储过程主体

   @params = <params>, --类似存储过程参数部分,声明参数类型

   <params assignment> --类似存储过程调用，为参数赋值,参数值要和参数顺序要一一对应，也可以通过为参数指明参数值的方式为其赋值

 @stmt参数是输入的动态批处理，它可以引入输入参数或输出参数，和存储过程的主体语句一样，只不过它是动态的，而存储过程是静态的，不过你也可以在存储过程中使用sp_executesql;

 @params参数与定义输入/输出参数的存储过程头类似，实际上和存储过程头的语法完全一样；

 @<params assignment> 与调用存储过程的EXEC部分类似。

     其实@stmt,@params可以省略，那么exec sp_executesql的语法就可以简写成如下格式：

  EXEC sp_executesql
   <statement>,
   <params>,
   <params assignment>

 

     为了说明sp_executesql对执行计划的管理优于EXEC,我将使用前面讨论EXEC时用到的代码。

 

代码

         DECLARE @TableName VARCHAR(50),@sql NVARCHAR(MAX),@OrderID INT;   
      SET @TableName = 'Orders ';
      SET @OrderID = 10251;   
      SET @sql = 'SELECT * FROM '+@TableName + ' WHERE OrderID = @OID ORDER BY ORDERID DESC'  
      --注意当要对动态sql语句的表名实行参数化时，不可以如下表示：
      --set @sql='select * from @TableName where OrderID=@OID ORDER BY Orderid desc',
     --如果这样会提示必须声明标量变量@TableName,只可以如上面所写的一样，将表名@TableName作为变量名进行拼接

      EXEC sp_executesql   
              @sql,   
             N'@OID int ',   
            @OID = @OrderID

 

     下面我们看看exec sp_executesql的执行效率，在调用该代码和检查它生成的执行计划前，先清空缓存中的执行计划；

  DBCC FREEPROCCACHE

     将上面的动态代码执行3次，每次执行都赋予@OrderID 不同的值，然后查询sys.syscacheobjects表，并注意它的输出，优化器只创建了一个备用计划，而且该计划被重用的3次

 

SELECT cacheobjtype,objtype,usecounts,sql FROM sys.syscacheobjects

　　WHERE sql NOT LIKE '%cache%' AND sql NOT LIKE '%sys.%' AND sql NOT LIKE '%sp_executesql%'

     点击F5运行。

     sq_executesql的另一个与其接口有关的强大功能是，你可以使用输出参数为调用批处理中的变量返回值。利用该功能可以避免用临时表返回数据，从而得到更高效的代码和更少的重新编译。定义和使用输出参数的语法与存储过程类似。也就是说，你需要在声明参数时指定OUTPUT子句。例如，下面的静态代码简单的演示了如何从动态批处理中利用输出参数@p把值返回到外部批处理中的变量@i.

 

  DECLARE @sql AS NVARCHAR(12),@i AS INT;
  SET @sql = N' SET @p = 10';
  EXEC sp_executesql
         @sql, 
        N'@p AS INT OUTPUT',
        @p = @i OUTPUT
   SELECT @i  --该代码返回输出10 

 

  以字母 N 为前缀标识 Unicode 字符串常量

      总结以下几点：
  一.使用exce sp_executesql效率比exec要高，同一类型的语句，只需编译一次即可，而exec执行几次就需要编译几次。
  二.构造动态sql的where子句，也就是条件子句时，exec无法使用变量来进行站位，需要将变量转换成字符串，然后和动态sql进行拼接，这就可能引起Sql注入问题，如下：
    

SET @sql = 'SELECT * FROM '+QUOTENAME(@TableName) +

 　　' WHERE OrderID = '+CAST(@OrderID AS VARCHAR(50)) + ' ORDER BY ORDERID DESC'

 

        而若使用exec sp_executesql则可以使用变量来进行站位，以后再给这个参数传值的放式构造动态sql，就避免的Sql注入的问题，如下：

    SET @sql = 'SELECT * FROM '+@TableName + ' WHERE OrderID = @OID ORDER BY ORDERID DESC'  

  三.无论是Exec还是Exec sp_executesql，如果想要将表名和列名进行动态参数化，不可以使用表名参数和列名参数来进行站位，而且表名参数和列名参数需要使用存储过程的参数.对     于exec sp_executesql来说，不可以将表名参数和列名参数在指定为在exec sp_executesql参数声明部分声明的参数，如：

代码

   create PROCEDURE GetData
    @tbName nvarchar(10),
    @colName nvarchar(10),
    @Name nvarchar(10)
   AS
    BEGIN
    declare @sql nvarchar(50);
    set @sql='select '+ @colName+'  from ' +@tbName+ ' where name=@whereName';
    --注意此句不可以写成如下:
    -- set @sql='select @colName from @tbName where name=@whereName';
    exec sp_executesql 
     @sql,
     N'@whereName nvarchar(10)',
     @Name
    END