如何在Oracle中正确地将字符串参数传递给XPATH？

EXTRACTVALUE已弃用，您应该改用 OR。XMLQUERYXMLTABLE

您可以尝试使用该软件包：DBMS_ASSERT

CREATE FUNCTION enquote_name (
  name IN VARCHAR2
) RETURN VARCHAR2
IS
BEGIN
  -- Wrap it in a function call to use the PL/SQL FALSE literal.
  RETURN DBMS_ASSERT.ENQUOTE_NAME(name, FALSE);
END;
/

然后：

SELECT XMLQUERY(
         ('/foo/bar[@baz='||ENQUOTE_NAME(:arg)||']/@value')
         PASSING fooColumn
         RETURNING CONTENT
       ) AS value
FROM   table_name

或

SELECT EXTRACTVALUE( foocolumn, '/foo/bar[@baz='||ENQUOTE_NAME(:arg)||']/@value')
         AS value
FROM   table_name

对于表：

CREATE TABLE table_name ( foocolumn ) AS
SELECT XMLTYPE(
'<foo><bar baz="abc" value="123" /><bar baz="def" value="456" /></foo>'
)
FROM DUAL;

输出，当是 ：:argdef

价值
456

如果尝试使用 as，则查询将返回零行（或引发异常）;但是，如果您尝试传递相同的值而不将其包装在对的调用中（并包含将添加的双引号），那么它将执行您试图避免的 XPATH 注入。:arg'abc"][@value="123'EXTRACTVALUEENQUOTE_NAMEENQUOTE_NAME

db<>fiddle 在这里