防止SQL注入最直接有效的方法就是在Go的database/sql中使用参数化查询，也就是参数占位符。具体来说，就是永远不要用字符串拼接的方式来构造SQL语句，而是使用"?"（或根据数据库驱动使用"$1"、"$2"等）作为占位符，然后将变量参数作为单独的参数传递给"Query"、"Exec"或"Prepare"方法。这样做，数据库驱动会确保参数被正确地转义和处理，从根本上将数据与指令分离，使得用户输入无法改变原SQL语句的结构。
为什么字符串拼接SQL是危险的？
当你写出类似"query := "SELECT * FROM users WHERE id = " + userID"这样的代码时，问题就产生了。如果"userID"变量来自用户输入（如HTTP请求参数），攻击者可以轻易地注入恶意代码。例如，输入"1; DROP TABLE users; --"，最终执行的SQL就会变成"SELECT * FROM users WHERE id = 1; DROP TABLE users; --"，这将导致数据被破坏或泄露。这就是典型的SQL注入攻击，其核心在于用户输入“越界”成了程序指令的一部分。
Go中database/sql的参数化查询如何工作？
Go的标准库"database/sql"设计之初就将安全放在了重要位置。它通过预处理语句（Prepared Statements）和参数绑定机制来防御SQL注入。当你使用"?"占位符时，例如"db.Query("SELECT name FROM users WHERE id = ?", id)"，底层发生的过程是：数据库驱动会将SQL语句模板（含占位符）发送给数据库服务器进行编译和预处理；随后，将参数"id"的值以纯数据的形式单独传送。数据库会严格区分这两者，确保参数值即使包含SQL元字符（如引号、分号），也只会被当作字符串数据处理，而不会被解析为SQL命令。
具体使用方法与代码示例
以下是使用"database/sql"进行安全查询的几种常见场景示例。首先确保你已经正确导入驱动并建立了数据库连接"db"。
import (
"database/sql"
_ "github.com/go-sql-driver/mysql"
)
func safeQuery(db *sql.DB, userID string) {
// 使用 ? 作为占位符进行查询
rows, err := db.Query("SELECT username, email FROM users WHERE id = ?", userID)
if err != nil {
// 处理错误
}
defer rows.Close()
// ... 处理结果集
}
func safeInsert(db *sql.DB, name, email string) {
// 插入操作同样使用占位符
result, err := db.Exec("INSERT INTO users (username, email) VALUES (?, ?)", name, email)
if err != nil {
// 处理错误
}
// ... 处理结果
}
// 对于IN语句这类复杂情况，需要手动构造占位符，但参数仍需单独传递
func safeQueryWithIn(db *sql.DB, ids []int) {
query := "SELECT * FROM products WHERE category_id IN (?" + strings.Repeat(",?", len(ids)-1) + ")"
// 将切片转换为interface{}参数列表
args := make([]interface{}, len(ids))
for i, id := range ids {
args[i] = id
}
rows, err := db.Query(query, args...)
// ... 后续处理
}深入理解Prepare方法
除了直接使用"db.Query"或"db.Exec"，你还可以显式地创建预处理语句（Prepared Statement）。这在需要重复执行同一条SQL语句时，能提升性能和安全性的可控性。预处理语句在数据库层面完成编译，后续只需传递参数即可执行。
func usePreparedStatement(db *sql.DB) {
// 准备语句
stmt, err := db.Prepare("UPDATE users SET active = ? WHERE last_login < ?")
if err != nil {
// 处理错误
}
defer stmt.Close()
// 多次安全地执行
_, err = stmt.Exec(true, "2023-01-01")
// ... 可以继续使用stmt.Exec执行其他参数
}使用"Prepare"时，SQL语句的编译和参数占位符的绑定在"Prepare"阶段完成，后续的"Exec"或"Query"调用只传递数据。这进一步巩固了“数据与指令分离”的原则，是防御SQL注入的最佳实践之一。即使在复杂的业务逻辑中，也应坚持为每条动态SQL使用独立的预处理语句。
不同数据库驱动占位符的差异
需要注意的是，"database/sql"本身只定义了接口，具体的占位符语法可能因数据库驱动而异。MySQL驱动通常使用"?"，PostgreSQL驱动使用"$1"、"$2"这样的位置参数，而SQLite既支持"?"也支持"$1"。关键是要使用驱动支持的占位符，而不是试图自己拼接。"database/sql"和驱动会共同处理参数替换和转义，这是安全的保证。永远不要因为占位符语法不同而退回到字符串拼接。
参数化查询无法覆盖的极端情况与应对
尽管参数化查询是银弹，但在极少数场景下，例如动态表名或列名，由于SQL语法限制，占位符不能用于标识符（表名、列名）。此时，绝对不能用用户输入直接拼接。正确的做法是使用白名单验证。例如，如果用户可以选择按不同列排序，你应该预先定义允许的列名集合，然后进行映射。
func safeDynamicOrder(db *sql.DB, userInput string) {
// 白名单验证
allowedColumns := map[string]bool{"name": true, "created_at": true, "id": true}
column := "id" // 默认值
if allowedColumns[userInput] {
column = userInput
}
// 列名是安全的，但排序方向ASC/DESC也应使用白名单
query := fmt.Sprintf("SELECT * FROM products ORDER BY %s ASC", column)
// 注意：这里query的拼接是安全的，因为column已被白名单验证
rows, err := db.Query(query)
// ... 处理
}记住，对于SQL语句的结构部分（关键字、标识符），安全依赖于严格的程序逻辑控制；对于数据部分（值），安全则必须交给参数占位符。两者结合，才能构建完整的防御体系。
结合其他安全实践与纵深防御
除了核心的参数化查询，在Go Web应用中还应建立纵深防御策略。首先，对所有输入进行严格的验证和过滤，遵循“最小权限原则”。其次，数据库连接账户应使用仅具备必要操作权限的账号，避免使用root或sa等高权限账号。再者，合理使用ORM（如GORM）也是一个好选择，因为成熟的ORM框架底层通常也使用参数化查询，但你需要了解其实现，避免误用其提供的原始SQL拼接接口。最后，定期进行安全审计和依赖库更新，确保"database/sql"和数据库驱动本身没有已知的安全漏洞。
总结
在Go中防止SQL注入，本质上是正确使用工具的问题。"database/sql"包已经提供了完善的参数化查询机制。作为开发者，你需要养成的唯一习惯就是：每当你想将变量放入SQL字符串时，立刻停止拼接，转而使用"?"或"$N"占位符，并将变量作为参数传入。这一个小小的编码习惯改变，就能消除绝大多数SQL注入风险。安全不是可选项，而是构建可靠Go应用程序的基石，而正确使用参数占位符，正是这块基石中最关键的一环。
