在过程中执行varchar2时出错

Question

I have a varchar2 with an INSERT and I want to execute it in a procedure I try to do it with an execute but this happens:

EXECUTE IMMEDIATE sql_str; 

Error:

ERROR at line 1:
ORA-00911: invalid character
ORA-06512: at "SYS.INSERT_MOVIMIENTOS", line 47
ORA-06512: at line 1

Varchar2 carries an insert that is this and works if I paste it but when executing it in the procedure something of the procedure fails.

INSERT INTO MOVIMIENTOS (COD_BANCO, COD_SUCUR, NUM_CTA, FECHA_MOV, TIPO_MOV, IMPORTE) VALUES (2000, 2000, 0, '11/11/08', 'I', 500);

My procedure

CREATE OR REPLACE PROCEDURE INSERT_MOVIMIENTOS (
    INSERTMOV_COD_BANCO IN NUMBER,
    INSERTMOV_COD_SUCUR IN NUMBER,
    INSERTMOV_NUM_CTA   IN NUMBER,
    INSERTMOV_FECHA_MOV IN DATE,
    INSERTMOV_TIPO_MOV  IN CHAR,
    INSERTMOV_IMPORTE   IN NUMBER
)
IS
    sql_str VARCHAR2(500) := 'INSERT INTO MOVIMIENTOS (';
    movimiento movimientos_typ;
BEGIN
    movimiento := movimientos_typ(
        INSERTMOV_COD_BANCO,
        INSERTMOV_COD_SUCUR,
        INSERTMOV_NUM_CTA,
        INSERTMOV_FECHA_MOV,
        INSERTMOV_TIPO_MOV,
        INSERTMOV_IMPORTE
    );

IF movimiento.getCOD_BANCO() != 0 THEN
    sql_str := sql_str || 'COD_BANCO, COD_SUCUR, NUM_CTA, FECHA_MOV, TIPO_MOV, IMPORTE) VALUES (' ||
    movimiento.getCOD_BANCO() || ', ' ||
    movimiento.getCOD_SUCUR() || ', ' ||
    movimiento.getNUM_CTA() || ', ''' ||
    movimiento.getFECHA_MOV() || ''', ''' ||
    movimiento.getTIPO_MOV() || ''', ' ||
    movimiento.getIMPORTE() || ');';
ELSE
    sql_str := sql_str || 'COD_SUCUR, NUM_CTA, FECHA_MOV, TIPO_MOV, IMPORTE) VALUES (' ||
    movimiento.getCOD_SUCUR() || ', ' ||
    movimiento.getNUM_CTA() || ', ''' ||
    movimiento.getFECHA_MOV() || ''', ''' ||
    movimiento.getTIPO_MOV() || ''', ' ||
    movimiento.getIMPORTE() || ');';
END IF;

    DBMS_OUTPUT.PUT_LINE('////////////////////////////////////////');
    DBMS_OUTPUT.PUT_LINE('CONSULTA: ' || sql_str);

    DBMS_OUTPUT.PUT_LINE('////////////////////////////////////////');
     DBMS_OUTPUT.PUT_LINE('DATOS INTRODUCIDOS: ');
    movimiento.display;

    DBMS_OUTPUT.PUT_LINE('////////////////////////////////////////');
    EXECUTE IMMEDIATE sql_str; 
    DBMS_OUTPUT.PUT_LINE('FUNCION REALIZADA CON EXITO');
END;
/

Answer 1

Donot end with the semicolon ; in your query string.

   movimiento.getIMPORTE() || ')';

The error is just because of it.

by the way, you should be using bind variables. Dynamically constructing the values this way is vulnerable to SQL Injection .