在 GORM 或原生 database/sql 中，SQL 占位符（如 ?）必须直接出现在 SQL 语句的可执行位置，不能嵌套在单引号包围的字符串字面量中（例如 '%'?%'），否则会被视为普通文本，导致参数绑定失败。
在 gorm 或原生 database/sql 中，sql 占位符（如 `?`）必须直接出现在 sql 语句的可执行位置，不能嵌套在单引号包围的字符串字面量中（例如 `'%'?%'`），否则会被视为普通文本，导致参数绑定失败。
SQL 占位符（如 ?、$1 或 :name，取决于驱动）的作用是在预编译阶段由数据库驱动进行安全的参数绑定，而非运行时字符串拼接。因此，占位符必须处于 SQL 解析器能识别为“参数位置”的上下文中——即不能被包裹在引号内。
你原始代码中的问题在于：
songs.name LIKE '%?%'
这里 '%?%' 是一个完整的字符串字面量，? 并未被解析为参数占位符，而是当作普通字符 ? 处理。最终 SQL 实际等价于：
songs.name LIKE '%?%' -- 字面量，非参数绑定
所以驱动发现 SQL 中没有有效占位符，却传入了 3 个参数，报错：sql: statement expects 0 inputs; got 3。
✅ 正确做法是：将通配符（%）拼接到 Go 变量中，再将该变量作为参数传入，确保 ? 独立、裸露地出现在 SQL 表达式中：
searchKeyword := "%" + keyword + "%"
rows, err := db.Raw(`SELECT songs.name, singers.name, albums.name
FROM songs
JOIN singers ON songs.singer_id = singers.id
JOIN albums ON songs.album_id = albums.id
WHERE songs.name LIKE ? OR singers.name LIKE ? OR albums.name LIKE ?`,
searchKeyword, searchKeyword, searchKeyword).Rows()
if err != nil {
return err
}
defer rows.Close() // 注意：应在 err 检查后调用，避免 panic
? 关键改进点说明：
- 使用 JOIN 替代旧式逗号连接（更清晰、符合现代 SQL 规范，且避免笛卡尔积风险）；
- 将 % 拼接逻辑移至 Go 层（searchKeyword := "%" + keyword + "%")，保证 ? 在 SQL 中独立存在；
- 使用反引号（`）包裹多行 SQL，提升可读性与换行支持；
- defer rows.Close() 必须在 err == nil 分支之后、实际使用 rows 前调用（或至少确保 rows 非 nil），否则可能 panic；
⚠️ 注意事项：
- 不要使用 fmt.Sprintf 或 + 拼接 SQL 字符串来注入 keyword，这将导致 SQL 注入漏洞；
- GORM 提供更高层的查询接口（如 Where("name LIKE ?", searchKeyword)），推荐优先使用 ORM 方法而非手写 Raw SQL，兼顾安全与可维护性；
- 若需大小写不敏感搜索，可考虑数据库特定函数（如 MySQL 的 LOWER() 或 PostgreSQL 的 ILIKE），但注意索引兼容性。
通过理解占位符的本质——预编译期绑定机制，而非运行时字符串替换——即可避免此类常见陷阱，写出既安全又高效的数据库交互代码。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
