gorm中使用where和first等链式方法时，必须用?或命名参数（如:name）进行占位符绑定才安全；字符串拼接会导致sql注入，raw等绕过orm防护的方法需严格白名单校验。
用 Where 和 First 等链式方法时，占位符才是安全的
GORM 默认对 Where、Order、Limit 等方法中的值部分自动参数化，但前提是必须用 ? 或命名参数（如 :name），而不是字符串拼接。比如：
-
db.Where("name = ?", name).First(&user)✅ 安全：name被当参数绑定，驱动处理转义 -
db.Where("name = '" + name + "'").First(&user)❌ 危险：单引号被绕过，name可注入' OR 1=1 -- -
db.Where("age > ?", ageStr).Where("status = '" + status + "'")❌ 后半段崩了：混合写法让防护失效
注意：GORM 的 Where 接收两个参数的重载形式（Where(string, interface{})）才启用参数化；只传一个 string 就是原生 SQL 片段，不防注入。
慎用 Raw，拼接前必须白名单校验结构部分
db.Raw() 是 GORM 中最易出事的入口，它绕过所有 ORM 层防护，直接交由驱动执行。用户输入若参与拼接，立刻失守：
-
db.Raw("SELECT * FROM " + tableName + " WHERE id = ?", id)❌ 表名不能参数化，tableName必须提前校验 - 正确做法：查白名单
validTables := []string{"users", "orders", "products"}，不在其中就 panic 或 return error - 排序字段、GROUP BY 列、UNION 子句等同理——这些都不是值，占位符无效，只能靠硬编码约束
别信“过滤单引号/分号”这种黑名单策略，SQL 注入在 PostgreSQL 里可用 ;、、甚至 Unicode 变体绕过。
Go语言（Golang）1.26.0
下载
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
Scan 不防注入，但错配字段会导致静默数据错乱
Scan 本身不涉及 SQL 构造，所以不防注入，但它和参数化一样关键：它按 SELECT 字段**顺序**和**类型**严格绑定变量。一旦 SQL 改了字段顺序或加了新列，而代码没同步更新，就会：
- 把邮箱值扫进 ID 字段（类型不匹配时报
sql: Scan error on column index 0） - NULL 值写入普通
string导致 panic，得改用sql.NullString - 用结构体接收比多个
&var更稳：db.Raw(sql).Scan(&results)，前提是结构体字段顺序与 SELECT 一致
尤其多人协作时，表结构变更后容易漏掉对应 Scan 逻辑，建议配合单元测试固定字段映射。
预处理不是银弹，PrepareStmt 开关影响行为但不改变安全性本质
GORM 的 PrepareStmt 选项（如 gorm.Config{PrepareStmt: true}）会让每次查询走预编译路径，主要价值在性能复用执行计划，**不是为了“更安全”**：
- 不开
PrepareStmt，Where("id = ?", id)依然安全——database/sql 驱动层已做参数绑定 - 开之后，MySQL 驱动需额外参数（如
parseTime=true&loc=Local）才稳定支持；PostgreSQL 驱动默认强制预处理 - 高频固定查询（如登录校验）值得开；但动态条件多的列表页，强行预处理反而增加服务端缓存压力
真正该盯紧的是代码里有没有 Raw、Session、Scopes 中藏了字符串拼接——那些地方不会因 PrepareStmt 自动变安全。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
