Como não usaar execute immediate em sql Dinamico

[marcelo0906]

preciso executar um sql dinâmico mas o cliente prefere que não sej ausado o execute immediate tem outra forma de fazer? é preciso fazer uma deleção no sql dinâmico? usei o ref curso para outras consultas, mas para fazer o delete não sei como fazer... alguém tem alguma idéia???

abraços

[diegolenhardt]

Para consultas tem o REFCURSOR e o EXECUTE IMMEDIATE para outras ações, desconheco outra forma para tratar dinamicamente....

[diegolenhardt]

Tem uma baita gambiarra que pode fazer

ativar o spool, fazendo com que o resultado de consultas sql fique no SPOOL gerando um arquivo .sql com as instrucoes das deleções.

[fsitja]

Para select dá para usar cursor variable (sys ref_cursor) mas para delete vai ter que ser no execute immediate mesmo.

O grande problema do delete com execute immediate é que você tem que fazer ele concatenando strings, e isso abre um buraco na segurança para vulnerabilidades de SQL injection, principalmente usando procedures, pois elas por padrão utilizam privilégios do OWNER da procedure (o usuário que acompilou), e que geralmente é superprivilegiado.

O jeito é validar TUDO o que é passado e concatenado para garantir que não há lixo ou um string mal-intencionado lá dentro. É uma coisa chata mesmo, ou usando vários IFs ou usando o auxílio da package DBMS_ASSERT.
Outra alternativa é, dependendo do que você quer fazer, usar invoker's rights, colocando a cláusula AUTHID CURRENT_USER na sua procedure. Isso vai garantir que o usuário rodando a procedure execute ela com seus próprios privilégios, mas às vezes você precisa usar definer's rights (comportamento padrão).

Dê uma olhada no link abaixo, onde o Tom Kyte explica como se defender contra SQL Injection. Como ele mesmo diz:

"It is not dynamic sql that is the issue. It is "the construction" of this sql that is the problem.

http://asktom.oracle.com/pls/asktom/f?p ... 3706595353