reflect.Value.Interface()不能直接拼进SQL排序字段，因为其返回运行时值而非列名字符串字面量，会导致ORDER BY "name"语法错误；正确做法是用StructField.Name或db标签映射列名，并严格白名单校验。
为什么 reflect.Value.Interface() 不能直接拼进 SQL 排序字段
因为反射取出的字段名是运行时值，而 SQL 排序字段必须是数据库列名（字符串字面量），不是变量内容。常见错误是把 reflect.Value.Interface() 当作列名用，结果生成类似 ORDER BY "name"（带引号的字符串值）而非 ORDER BY name（无引号的标识符）。
- 数据库会报错：
ERROR: column "name" does not exist（PostgreSQL）或类似语法错误 - 正确做法是用
reflect.StructField.Name或结构体标签（如json:"user_name"）映射到列名，而不是字段值 - 若字段是嵌套结构体或指针，需用
reflect.Indirect()解引用后再取字段，否则NumField()返回 0
如何从 struct 标签安全提取数据库列名
别硬编码字段名，优先读取 db 标签（如 db:"user_name,asc"），它比 json 标签更贴近存储语义。注意解析时要分离列名和排序方向，且忽略空/非法标签。
- 用
structField.Tag.Get("db")获取原始标签值，再用strings.SplitN(tag, ",", 2)拆分列名与方向 - 若没
db标签，fallback 到structField.Name（首字母大写转小写，如CreatedAt→created_at），但需提前定义转换规则，避免误转UserID成user_i_d - 禁止直接拼接用户输入或反射值进 SQL —— 排序字段必须白名单校验，可用预定义 map 映射合法字段名，不在其中的字段跳过
sqlx.DB.Select 不接受动态 ORDER BY 参数？用 fmt.Sprintf 拼接前必须做啥
sqlx.Select 的 query 参数是完整 SQL 字符串，args 只用于 WHERE 子句占位符（, ?），ORDER BY 后不能用参数化，只能拼接。但这不等于可以随便拼。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 必须先校验字段名是否在白名单中，例如：
if _, ok := validSortFields[fieldName]; !ok { return errors.New("invalid sort field") } - 排序方向（
asc/desc）也要限定，防止注入desc; DROP TABLE users这类无效输入（虽然分号在单个字段后不会执行，但属于不良实践） - 示例拼接：
orderByClause := fmt.Sprintf("ORDER BY %s %s", sqlSafeColumnName, strings.ToUpper(dir))，其中sqlSafeColumnName是已过滤的小写字母+下划线字符串
嵌套结构体和匿名字段怎么处理排序逻辑
Go 反射对匿名字段（内嵌结构体）默认展开，但 reflect.StructField.Anonymous 为 true 时，需递归进入其字段，同时拼接前缀（如 user.created_at）。否则会漏掉子结构字段，或导致列名冲突。
- 遍历时检查
structField.Anonymous，若为true，获取其类型（structField.Type），再调用相同逻辑递归提取字段，并在列名前加parentTable + "." - 注意：如果嵌套字段也有
db标签，应以该标签为准，而不是拼接后的名字；若无标签，才用parent.child形式 - 避免无限递归：遇到非 struct 类型（如
int、*string）或已处理过的类型层级（可加深度限制，如 >5 层就跳过）立即返回
字段名映射和 SQL 拼接本身不难，真正容易被忽略的是：**没有统一入口校验所有可能传入的排序字段，导致部分路径绕过白名单，或嵌套时前缀未标准化（比如有时用点、有时用下划线）**。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
