Oracle 中，表名不能作为参数吗？

Question

string sql='select * from :tableName';

OracleCommand cmd=new OracleCommand(sql);

cmd.Parameter.Add(new OracleParameter("tableName","A"));

查询....

 

报ORA-00903,表不存在。。

 

请问表名称不能用参数化查询吗？

Answer 1

sql中表名也不能参数化

Answer 2

这种就直接拼接字符串不就得了，怕注入的话直接验证特殊字符就好了！