Golang反射在动态SQL拼接中的应用与安全处理-Golang-PHP中文网

防 reflect.value.interface() panic 需先判 v.kind() == reflect.ptr && v.isnil()，再处理；结构体+db tag 比 map 更安全；标识符拼接须白名单校验；命名参数需用 sqlx.namedquery 或 sqlx.rebind 转换。

golang反射在动态sql拼接中的应用与安全处理

reflect.Value.Interface() panic: nil pointer dereference 怎么防

最常在动态拼 WHERE 条件时触发，尤其字段是 *string、*int64 这类指针类型且值为 nil 时，直接调 v.Interface() 就崩。

关键不是检查 v.IsValid()——它对 nil 指针返回 true，但后续取值仍 panic；必须显式判断指针是否为空：

v.Kind() == reflect.Ptr && v.IsNil()：成立则跳过该字段，或生成 "col IS NULL"
若字段是 interface{} 类型，需先 v.Elem() 解一层再判断，否则 v.Interface() 可能返回空 interface{} 而非底层值
解引用后继续处理：v = v.Elem()，再走类型分支（如 string、time.Time）

用 map[string]interface{} 还是结构体 + 反射拼条件

map 看似灵活，但丢类型信息，参数绑定易错；结构体反射更安全，但字段名和列名不一致时得靠 tag 映射。

实操建议：

优先选带 db tag 的结构体，例如 type UserFilter struct { Name *string `db:"user_name"` }，反射时读 v.Tag.Get("db")
避免在 map 中混用 nil 和空字符串：nil 应生成 IS NULL，"" 是 = ''，语义完全不同
如果必须用 map，建议封装校验函数，统一处理 nil、空字符串、零值，再转成条件列表

ORDER BY / 表名 / 字段名这些标识符怎么拼才安全

它们根本不能参数化——数据库协议层就不支持 ? 或绑定标识符。硬塞进去会 panic 或静默出错，攻击者用 score\u200b ASC; DROP TABLE users 就能绕过。

Colly Golang Web Scraper and Crawler Framework

Colly 是一个用于 Go 语言的快速开源爬取和爬虫框架。它适用于从简单的页面提取到异步爬虫处理大量页面集合，支持请求回调和结构化解析。

下载

白名单必须精确比对，不能靠正则或替换：

只允许枚举值，比如 validFields := map[string]bool{"name": true, "email": true, "created_at": true}，再用 if !validFields[field] { return errors.New("invalid field") }
排序方向（ASC/DESC）同样要白名单，不能 fmt.Sprintf("ORDER BY %s %s", field, dir)——dir 若为 "DESC; --" 就触发多语句
表名拼接前做两级校验：硬编码映射 + 输入约束，别依赖 INFORMATION_SCHEMA.TABLES 查是否存在

sqlx.NamedQuery 和原生 db.Query 对命名参数的兼容性差异

sqlx.Named 支持 :name 占位符，但要求传入的是 map 或 struct；原生 database/sql 只认 []interface{} 位置参数。反射生成的 WHERE 子句若含 :name，直接喂给 db.Query 会报 sql: expected 0 arguments, got 1。

正确做法：