通过传递表名称和列名称从Oracle表中删除行

Question

我有jsp页面，其中用户选择表名称，列名称和列值，这三个条件我想从数据库中删除所有匹配的行。有没有办法在oracle中传递表名，列名和列值以从表中删除特定行？任何示例将帮助我。谢谢

Answer 1

我担心SQL注入攻击，你提供的是表和列名。 您可以创建一个Oracle函数删除所需的记录，并删除该行之前必须满足的测试对于某些条件：

CREATE OR REPLACE 
FUNCTION delete_record (
    p_table IN VARCHAR2, 
    p_column IN VARCHAR2, 
    p_value IN VARCHAR2 
) 
RETURN NUMBER 
AS 
    v_table user_tables.table_name%TYPE; 
    v_columns user_tab_cols.column_name%TYPE; 
BEGIN 
    -- Check table exists in DB 
    SELECT table_name 
    INTO v_table 
    FROM user_tables 
    WHERE table_name = UPPER(p_table); 

    -- Check column exists in DB table 
    SELECT column_name 
    INTO v_colums 
    FROM user_tab_cols 
    WHERE table_name = UPPER(p_table) 
     AND column_name = UPPER(p_column); 

    EXECUTE IMMEDIATE 
     'DELETE FROM '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_table)|| 
     ' WHERE '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_column)||' = :col_value' 
    USING p_value; 

    RETURN SQL%ROWCOUNT; 
EXCEPTION 
    WHEN NO_DATA_FOUND 
    THEN 
     -- Either return -1 (error) or log an error etc. 
     RETURN -1; 
    WHEN others 
    THEN 
     <Your exception handling here> 
END delete_record; 
/

本（或像这样）会检查所提供的表和列变量的存在数据库，然后删除记录并返回删除的记录数。 如果删除的号码出现问题，您可以发出回滚语句，如果没有问题，则可以发出提交。

当然，如果您想提供完全限定的表名（建议），那么您将使用DBMS_ASSERT.QUALIFIED_SQL_NAME函数而不是DBMS_ASSERT.SIMPLE_SQL_NAME函数。

希望它可以帮助...

编辑：在回答杰克的有关从和日期添加日期的问题。

如果添加的是在传递给函数的两个新条件：

CREATE OR REPLACE 
FUNCTION delete_record (
    p_table  IN VARCHAR2, 
    p_column IN VARCHAR2, 
    p_value  IN VARCHAR2, 
    p_date_from IN DATE, 
    p_date_to IN DATE 
) 

然后，你需要扩大EXECUTE立即用：

EXECUTE IMMEDIATE 
    'DELETE FROM '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_table)|| 
    ' WHERE '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_column)||' = :col_value'|| 
    ' AND date BETWEEN :date_from AND :date_to' 
USING p_value, 
     p_date_from, 
     p_date_to; 

注：这假设你的日期列在表中称为“日期”。 我目前没有SQL界面在我面前，但这应该足够接近你需要的工作。

如果您将p_date_XXXX参数作为VARCHAR2而不是DATE类型传递，那么在将值传递给动态SQL之前，需要先“TO_DATE”。

例如

EXECUTE IMMEDIATE 
    'DELETE FROM '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_table)|| 
    ' WHERE '||DBMS_ASSERT.SIMPLE_SQL_NAME(p_column)||' = :col_value'|| 
    ' AND date BETWEEN :date_from AND :date_to' 
USING p_value, 
     TO_DATE(p_date_from, <date_format>), 
     TO_DATE(p_date_to, <date_format>); 

Answer 2

DELETE FROM table_name WHERE column_name = column_value 

的问题是，你不能在PreparedStatement绑定表或列名，仅列值。

Answer 3

这应该工作（从内存中，未测试）：

Statement stmt = null; 

try 
{ 
    stmt = conn.createStatement("DELETE FROM " + tableName + " WHERE " + columnName + " = '" + condition + "'"); 
    int deleted = stmt.execute(); 
} 
catch (SQLException e) 
{ 
    ... report error 
} 

try 
{ 
    if (stmt != null) 
     stmt.close(); 
} 
catch (SQLException ignore) 
{ 
}