在 go 中使用 database/sql 时，? 占位符无法用于动态指定 order by 字段名；必须通过安全拼接 sql 字符串实现，但需严格校验列名以防止 sql 注入。
在 go 中使用 database/sql 时，? 占位符无法用于动态指定 order by 字段名；必须通过安全拼接 sql 字符串实现，但需严格校验列名以防止 sql 注入。
在 Go 应用中，常需根据用户输入或配置动态控制查询排序逻辑（例如前端传入 sort=title&order=desc）。此时容易误用参数化查询机制，尝试将列名作为 db.Query 的参数传递：
// ❌ 错误：? 占位符仅适用于值，不适用于标识符（如列名、表名、关键字）
rows, err := db.Query("SELECT * FROM Apps ORDER BY ? DESC", "title")该写法不会报错，但也不会生效——MySQL 将 ? 视为字符串字面量而非列标识符，实际执行等价于 ORDER BY 'title' DESC，即按常量字符串排序（所有行视为相同值），导致结果无序。
✅ 正确做法是：拼接 SQL 字符串 + 严格白名单校验列名。核心原则是：动态 SQL 片段（如列名、方向）必须在进入数据库驱动前完成可信性验证，绝不可直接插入用户输入。
安全拼接示例
import (
"database/sql"
"fmt"
"regexp"
)
var validColName = regexp.MustCompile(`^[A-Za-z0-9_]+$`)
func queryWithDynamicOrder(db *sql.DB, colName, orderDir string) (*sql.Rows, error) {
// 1. 校验列名：仅允许字母、数字、下划线
if !validColName.MatchString(colName) {
return nil, fmt.Errorf("invalid column name: %s", colName)
}
// 2. 校验排序方向（可选增强）
if orderDir != "ASC" && orderDir != "DESC" {
orderDir = "ASC" // 默认安全降级
}
// 3. 安全拼接（注意：colName 和 orderDir 已通过校验，可直接插入）
query := fmt.Sprintf("SELECT * FROM Apps ORDER BY %s %s", colName, orderDir)
return db.Query(query)
}
// 使用示例
rows, err := queryWithDynamicOrder(db, "title", "DESC")
if err != nil {
log.Fatal(err)
}
defer rows.Close()关键注意事项
- 永远不要跳过校验：若 colName 来自 HTTP 查询参数（如 r.URL.Query().Get("sort")），未经校验直接拼接将导致严重 SQL 注入漏洞。攻击者可传入 title ASC, (SELECT @@version) 或 id; DROP TABLE Apps-- 等恶意内容。
- 避免通用“转义”函数：MySQL 不支持对列名进行类似 mysql_real_escape_string 的转义；唯一可靠方式是白名单匹配（正则 / 预定义枚举）。
-
考虑枚举替代方案：对有限排序字段，推荐用映射代替自由输入：
sortMap := map[string]string{ "title": "title", "created": "created_at", "score": "rating_score", } if realCol, ok := sortMap[userInput]; ok { query := fmt.Sprintf("SELECT * FROM Apps ORDER BY %s %s", realCol, orderDir) // ... } - 慎用 fmt.Sprintf 拼接其他动态结构：同理，WHERE 中的列名、GROUP BY、JOIN 表别名等均适用此规则——占位符只用于数据值，不用于SQL 结构。
总结：Go 的 database/sql 参数化查询设计初衷是防御值注入，而非结构注入。动态 SQL 结构需由应用层承担校验责任。坚持“校验先行、拼接在后、白名单优先”，即可安全实现灵活排序。
立即学习“go语言免费学习笔记（深入）”；
