Oracle NLS_DATE_FORMAT 設定全攻略：Session、Registry、環境變數與資安風險防範

Oracle NLS_DATE_FORMAT 完整設定指南

NLS_DATE_FORMAT 參數控制資料庫日期時間的顯示與隱含轉換格式。正確設定可避免日期格式不匹配錯誤，但不當配置更可能引發嚴重的 SQL 注入風險。

一、三大層級設定方式

1. Session 層級（最高優先權，僅影響當前連線）

ALTER SESSION SET NLS_DATE_FORMAT = 'YYYY-MM-DD HH24:MI:SS';

適用於開發測試、特定報表查詢，不影響其他用戶。

2. 作業系統層級（Windows Registry / Linux 環境變數）

Windows： 註冊表 HKEY_LOCAL_MACHINE\SOFTWARE\ORACLE\HOME0 新增字串值 NLS_DATE_FORMAT = YYYY-MM-DD HH24:MI:SS

Linux/Unix： export NLS_DATE_FORMAT='YYYY-MM-DD HH24:MI:SS'（寫入 .bash_profile 或 /etc/profile 永久生效）

⚠️ 注意：部分 Shell/平台需同時設定 NLS_LANG=AMERICAN_AMERICA.ZHS16GBK（或對應字元集）才能生效。

3. 資料庫參數層級（不建議直接修改）

可透過 ALTER SYSTEM SET NLS_DATE_FORMAT=... SCOPE=SPFILE 修改，但需重啟實例且影響全庫，極易造成應用程式相容性問題，生產環境慎用。

二、關鍵資安風險：隱含轉換與 SQL 注入

風險根源： Oracle 允許 NLS_DATE_FORMAT 設定為任意字串，甚至包含 SQL 片段。當應用程式使用字串拼接而非綁定變數執行日期查詢時，惡意設定的格式字串可導致 SQL 注入。

攻擊範例：

-- 惡意設定
ALTER SESSION SET NLS_DATE_FORMAT = 'YYYY-MM-DD"; DROP TABLE users; --';

-- 應用程式拼接 SQL（極度危險）
sql := "SELECT * FROM orders WHERE order_date = '" || user_input_date || "'";
-- 實際執行變為：
SELECT * FROM orders WHERE order_date = '2024-01-01"; DROP TABLE users; --';

即使欄位型別為 DATE，隱含轉換 TO_DATE(:input, NLS_DATE_FORMAT) 仍會觸發。

三、最佳實踐：永遠使用綁定變數

• 安全性： 徹底杜絕 SQL 注入，無論 NLS 設定如何。
• 效能： 利用游標共享，減少硬解析，大幅提升吞吐量。
• 程式碼範例：

-- JDBC PreparedStatement
String sql = "SELECT * FROM orders WHERE order_date = ?";
PreparedStatement ps = conn.prepareStatement(sql);
ps.setDate(1, java.sql.Date.valueOf("2024-01-01"));

// PL/SQL 綁定變數
DECLARE
  v_date DATE := DATE '2024-01-01';
BEGIN
  FOR r IN (SELECT * FROM orders WHERE order_date = v_date) LOOP
    -- process
  END LOOP;
END;

四、總結建議

1. 應用程式層統一使用 綁定變數，拒絕字串拼接 SQL。
2. Session 層級按需設定格式，避免全域修改。
3. 資料庫伺服器層級保持預設或標準格式，不設特殊值。
4. 定期稽核應用程式代碼，確保無動態 SQL 拼接日期值。