Go语言开发中如何编写安全的SQL查询语句？-SQL-PHP中文网

直接拼接字符串等于打开sql注入大门，必须用?或$1占位符进行参数化查询，表名、列名、order by等结构部分须白名单校验，in子句需动态生成占位符，scan须严格匹配类型和null处理。

go语言开发中如何编写安全的sql查询语句？

直接拼接字符串等于打开SQL注入大门

只要代码里出现 "WHERE name = '" + name + "'" 或 fmt.Sprintf("SELECT * FROM users WHERE id = %d", id)，就已存在明确的注入风险——哪怕参数来自内部配置、枚举或看似“可信”的来源。Go 的 database/sql 不会帮你拦截这种拼接，驱动层也只负责执行，不校验 SQL 结构是否被篡改。

常见错误现象包括：查询返回了不该返回的全部记录（如 ' OR '1'='1）、插入时字段值莫名多出单引号、sql.ErrNoRows 却实际查到数据、甚至执行了意外的 DROP TABLE（若 MySQL DSN 含 multiStatements=true）。

永远不要信任任何输入源——URL 参数、表单字段、配置文件、环境变量，一律视作不可信
strings.Replace 或正则过滤单引号、分号等“特殊字符”完全无效，攻击者用注释符 --、括号嵌套、布尔盲注等方式绕过
白名单校验只适用于动态标识符（如 ORDER BY 字段名），不能替代参数化查询

IN 查询必须展开占位符，不能直接传 slice

写 "WHERE id IN :ids" 并把 []int{1,2,3} 塞进 map[string]interface{}{"ids": ids}，sqlx.NamedQuery 会把它当做一个整体绑定，导致语法错误或空结果——因为 PostgreSQL 要 IN ($1, $2, $3)，MySQL 要 IN (?, ?, ?)，而不会自动展开。

正确做法只有两种：

用 sqlx.In 辅助函数生成问号占位符串 + db.Rebind 转为目标驱动格式：
query, args, _ := sqlx.In("SELECT * FROM users WHERE id IN (?)", ids)
query = db.Rebind(query)
rows, _ := db.Queryx(query, args...)
手动构造命名参数（适合少量固定长度场景）：
query := "SELECT * FROM users WHERE id IN (:id1, :id2, :id3)"
再逐个赋值 args["id1"] = ids[0] 等

ORDER BY / LIMIT / OFFSET 必须白名单校验后拼接

db.Query("SELECT * FROM users ORDER BY ?", "name") 会 panic：sql: expected 0 arguments, got 1。SQL 标准规定这些子句无法参数化，驱动层不支持运行时绑定。

可行方案是预定义合法值并严格校验：

Go语言（Golang）1.26.0

Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。

下载

建立白名单 map：validSortFields := map[string]bool{"name": true, "created_at": true, "updated_at": true}
检查输入是否在白名单内：if !validSortFields[sortField] { return errors.New("invalid sort field") }
再拼接：query += " ORDER BY " + sortField + " " + orderByDirection（orderByDirection 同样需白名单限制为 "ASC" 或 "DESC"）

注意：拼接前必须确保 sortField 和 orderByDirection 是白名单中明确存在的字符串，不能做任何字符串替换或截断处理。