应避免用反射拼接SQL字符串，因其导致预编译失败、SQL注入、nil panic及类型安全缺失；需用结构体+db标签配合指针字段控制条件，严格匹配列名与参数顺序。
别用反射直接拼 SQL 字符串喂给 database/sql —— 它不认运行时生成的语句，预编译失败，还容易注入、崩在 nil 指针上。
为什么 reflect 不能直接生成可执行的 SQL 字符串
Go 标准库的 db.Query 和 db.Exec 要求 SQL 是确定性字面量（或至少是编译期可静态分析的拼接），因为 sql.Stmt 需要预编译。你用 reflect 动态拼出 "INSERT INTO " + tableName + " (...)"，哪怕 tableName 是常量，Go 也无法在 prepare 阶段验证结构，最终报 sql: statement expects 0 arguments, got X 或静默错配。
更危险的是：反射只读字段名、类型、db 标签，它不知道哪个字段该转义、是否允许为 NULL、时间要不要格式化、自定义类型有没有实现 driver.Valuer。硬拼字符串等于放弃类型安全和 SQL 注入防护。
- 字段是
*string且值为nil？v.Interface()直接 panic - 字段是
type UserID int64？Interface()返回int64，绕过其Value()方法，写入数据库可能失败 - 标签写成
db:"created_at,notnull"，但代码里用strings.Split(tag, " ")[0]—— 没判空就切片，panic
db 标签怎么写才不会被反射忽略
反射只能访问导出字段（首字母大写）。小写字段如 userName string 即使加了 db:"user_name"，reflect.Value.FieldByName("userName") 也返回 Invalid，遍历时必须用 NumField() + Field(i) 全量扫描。
标签解析本身不 panic，但后续处理极易翻车：
- 永远先检查
tag := field.Tag.Get("db")是否为空字符串，再做任何切分或比较 - 用
strings.TrimSpace(tag)清理前后空格，避免== ""判定失效 - 若值为
"-"，显式跳过该字段（主流 ORM 如 GORM、sqlc 都支持） - 遇到
Anonymous == true且tag == ",inline"，需递归展开并拼前缀（如extra_created_at），否则嵌套字段丢列名
WHERE 条件动态拼接该用 map 还是结构体 + 反射
用 map[string]interface{} 看似灵活，但丢失类型信息：nil 值该生成 IS NULL 还是跳过？空字符串和零值语义不同，反射无法自动区分。结构体 + db 标签才是可控路径。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
实操要点：
- 定义过滤结构体时，用指针字段明确表达“是否参与条件”，例如
Name *string `db:"name"` - 反射遍历时，对每个字段先判断
v.Kind() == reflect.Ptr && v.IsNil()：是则跳过，或生成col IS NULL - 非指针字段（如
Age int）默认参与，但注意零值（0）是否真有意义，建议加业务层校验 - 别混用命名参数（
:name）和位置参数（?）——sqlx.NamedQuery只认前者，原生db.Query只认后者；反射阶段就得定死参数格式
INSERT/SELECT 的参数列表怎么安全生成
核心不是“怎么拼 SQL”，而是“怎么把结构体字段变成 []interface{} 参数切片”。字段顺序必须和 SQL 中列顺序严格一致，否则 Scan 写错字段或 panic。
正确流程：
- 入口必须是指针：
func scanRow(dest interface{}, rows *sql.Rows)→ 内部立刻v := reflect.ValueOf(dest).Elem() - 遍历字段时，检查
field.CanSet()，跳过非导出字段（小写开头） - 取地址必须用
field.Addr().Interface()，不是field.Interface()（后者是值副本，Scan写不进去） - 对
db标签匹配列名：优先用tag，空则 fallback 为strings.ToLower(field.Name)（注意：不自动驼峰转下划线） - IN 查询必须用
sqlx.In+Rebind，不能把 slice 直接塞进 map 当一个值
最易被忽略的一点：列名来自 rows.Columns()，不是 SQL 字符串里的文字。一旦 SQL 用了别名（SELECT u.id AS user_id），就必须让 db 标签对应 "user_id"，而不是原始列名 "id"。靠字符串拼接或硬编码顺序，迟早崩在上线后第一次改 SQL。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
