fmt.sprintf 总是分配新字符串且不修改原变量，适合一次性格式化如日志或错误构造；高频拼接应改用 strings.builder，需严格匹配动词与参数类型以防 panic，并避免用于 sql/html 拼接以防注入。
fmt.Sprintf 会分配新字符串，不修改原变量
fmt.Sprintf 是纯函数式操作：它总是返回一个全新的 string，不会复用或修改传入的任何参数。这意味着如果你写 s := "hello"; s = fmt.Sprintf("%s world", s)，本质是创建了第二个字符串对象，原 "hello" 仍待 GC 回收。对高频拼接（如循环内）要注意内存分配压力。
- 适合一次性、逻辑清晰的格式化，比如日志消息、错误构造、SQL 拼接（需防注入）
- 不适合在 tight loop 中反复调用，可考虑
strings.Builder替代 - 所有参数都会被拷贝进新字符串，含
[]byte、struct字段值等——不是引用传递
格式动词必须匹配参数类型，否则 panic 或静默截断
Go 不做运行时类型推导，%d 给 string、%s 给 int 都会导致运行时 panic：panic: fmt: %!d(string="abc")（注意错误中 %!d 表示类型不匹配）。但某些组合看似“能过”，实则语义错误，比如 %v 打印指针地址而非内容，%s 对 []byte 安全，但对 *[]byte 就会 panic。
-
%s→string,[]byte（自动转 string） -
%d→ 整数类型（int,int64,uint32等） -
%f→ 浮点数（float32,float64），%e/%g更适合科学计数场景 -
%v→ 通用值，但结构体字段未导出时显示为<nil></nil>或空值，调试时建议用%+v
宽度、精度、标志符影响输出，但不改变底层值
像 %5s（右对齐补空格到 5 位）、%.3f（保留三位小数）、%08x（8 位十六进制，不足前补 0）这类修饰只作用于最终字符串表现，不影响参数本身。尤其注意 %.2s 会截断字符串前两个 rune（非 byte），中文可能只输出半个字；%06d 对负数会把 - 当作符号位，变成 -00123 而非 00-123。
- 精度对字符串是最大长度（rune 数），对浮点数是小数位数，对整数是最小数字位数（前面补 0）
-
-标志左对齐，+强制符号（+123），123） - 宽度和精度都支持用
*占位，从参数中动态取值：fmt.Sprintf("%*.*s", width, prec, s)
避免在 SQL 或 HTML 中直接拼接，防止注入
用 fmt.Sprintf 拼接 SQL 查询或 HTML 片段是高危操作。例如 query := fmt.Sprintf("SELECT * FROM users WHERE name = '%s'", name)，一旦 name 是 O'Reilly 就导致语法错误甚至注入；同理 html := fmt.Sprintf("<div>%s</div>", user_input) 可能执行 XSS。Go 标准库提供了更安全的替代方案。
立即学习“go语言免费学习笔记（深入）”；
- SQL：用
database/sql的Query+ 占位符（?或$1） - HTML：用
html/template自动转义，或template.HTMLEscapeString手动处理 - 路径拼接：优先用
path.Join/filepath.Join，而非fmt.Sprintf("%s/%s", a, b)
sql := "SELECT * FROM posts WHERE id = ?"
rows, _ := db.Query(sql, postID) // 安全，参数由驱动处理
<p>t := template.Must(template.New("page").Parse("<h1>{{.Title}}</h1>"))
t.Execute(w, map[string]string{"Title": userInput}) // 自动转义字符串格式化本身很简单，真正容易出问题的是边界场景：类型错配时的 panic、多字节字符下的精度截断、以及把格式化当成拼接工具误用于敏感上下文。写完 fmt.Sprintf 调用后，花三秒确认下动词和参数是否真的一一对应，比事后 debug 快得多。
