Go语言GORM框架怎么动态拼接复杂的查询条件-Golang-PHP中文网

GORM链式Where空值不跳过需手动判空；map条件防SQL注入须白名单校验；复杂逻辑用函数式Where+Or；关联动态过滤必须Joins而非Preload。

go语言gorm框架怎么动态拼接复杂的查询条件

用 `Where` 链式调用拼接多个条件时，空值字段会意外生效

很多人直接写 db.Where("status = ?", status).Where("user_id = ?", userID)，但当 status 是零值（比如 0 或空字符串）时，条件仍会被加入 SQL，导致查不到预期数据。GORM 不会自动跳过零值参数。

正确做法是按需构建查询对象：

声明一个 *gorm.DB 变量，初始为 db
每个条件用 if 判断是否有效，再链式调用 Where、Joins 等
避免在 Where 中硬编码字段名，优先用结构体或 map 映射字段与值

示例：

var query = db
if status != 0 {
    query = query.Where("status = ?", status)
}
if len(name) > 0 {
    query = query.Where("name LIKE ?", "%"+name+"%")
}
if userID > 0 {
    query = query.Where("user_id = ?", userID)
}
var users []User
query.Find(&users)

用 `map[string]interface{}` 批量加条件时，注意 key 的 SQL 注入风险

虽然 db.Where(map[string]interface{}{"status": 1, "deleted_at": nil}) 写起来快，但 map 的 key 是字段名，如果来自用户输入（比如前端传的 filter[field]），直接拼进 SQL 就是注入漏洞。

安全做法：

只允许白名单字段参与 map 构建，比如预定义 validFields = map[string]bool{"status": true, "category": true}
对 value 做类型检查，nil 值会被 GORM 转成 IS NULL，但 "null" 字符串不会
不要用 map 表达 IN、BETWEEN 这类复杂操作，它们不支持

需要 OR、NOT、嵌套括号逻辑时，必须用 `Where` 的结构体或函数形式

GORM 对 OR 的支持很弱，Or() 只能追加一级 OR 条件，没法控制分组。真正要写 (a = 1 AND b = 2) OR (c = 3 AND d = 4)，得靠函数式写法：

GORM框架 1.30.3

GORM框架 1.30.3版本源码包下载，版本号 1.30.3，适合在 1.30 主线早期节点做源码留档、依赖回放和升级前后行为对照。

下载

db.Where(func(db *gorm.DB) *gorm.DB {
    return db.Where("a = ? AND b = ?", 1, 2)
}).Or(func(db *gorm.DB) *gorm.DB {
    return db.Where("c = ? AND d = ?", 3, 4)
})

要点：