在使用 mymysql 包进行数据库查询时，经常需要将各种类型的参数传递给 SQL 语句。由于 Go 语言的泛型支持有限，通常会使用空接口 interface{} 来接收这些参数。然而，直接将空接口传递给 Db.QueryFirst 等方法，可能会导致 SQL 语法错误，例如 "You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '?%!(EXTRA string=Markus)' at line 1"。
为了解决这个问题，我们需要确保参数被正确地转换为数据库可以理解的类型。一种常用的方法是使用 printf 格式化语法来构建 SQL 查询语句。
package main
import (
"fmt"
"log"
"github.com/go-sql-driver/mysql" // 确保导入正确的 MySQL 驱动
"database/sql"
)
// 模拟 Db 对象
type DbType struct {
db *sql.DB
}
var Db DbType
func (db *DbType) QueryFirst(statement string, args ...interface{}) (string, string, error) {
// 模拟查询逻辑，实际应用中应使用 db.db.QueryRow 等方法
query := fmt.Sprintf(statement, args...)
fmt.Println("Executing query:", query)
return "row_data", "some_other_data", nil // 模拟返回结果
}
func FindByQuery(statement string, params ...interface{}) (string, error) {
// 使用 fmt.Sprintf 格式化 SQL 语句
row, _, execError := Db.QueryFirst(statement, params...)
if execError != nil {
return "", fmt.Errorf("query execution error: %w", execError)
}
return row, nil
}
func main() {
// 初始化 Db (实际应用中需要配置数据库连接)
cfg := mysql.Config{
User: "user",
Passwd: "password",
Net: "tcp",
Addr: "127.0.0.1:3306",
DBName: "dbname",
AllowNativePasswords: true,
}
db, err := sql.Open("mysql", cfg.FormatDSN())
if err != nil {
log.Fatal(err)
}
Db.db = db
// 调用 FindByQuery
result, err := FindByQuery("SELECT * FROM Diver WHERE Name='%s'", "Markus")
if err != nil {
log.Fatalf("Error: %v", err)
}
fmt.Println("Result:", result)
}代码解释：
- fmt.Sprintf(statement, params...): 这个函数会将 statement 中的格式化占位符（例如 %s）替换为 params 中的参数。 %s 用于字符串，%d 用于整数，%f 用于浮点数，以此类推。
- SQL 注入风险: 直接使用 fmt.Sprintf 构建 SQL 语句存在 SQL 注入的风险。 应该尽可能使用预编译语句。
预编译语句（Prepared Statements）
预编译语句是更安全和高效的 SQL 查询方式。它允许数据库服务器预先编译 SQL 语句，然后多次执行该语句，每次使用不同的参数。
package main
import (
"database/sql"
"fmt"
"log"
_ "github.com/go-sql-driver/mysql" // 导入 MySQL 驱动
)
func FindByQueryPrepared(statement string, params ...interface{}) (string, error) {
db, err := sql.Open("mysql", "user:password@tcp(127.0.0.1:3306)/dbname")
if err != nil {
return "", err
}
defer db.Close()
stmt, err := db.Prepare(statement)
if err != nil {
return "", err
}
defer stmt.Close()
var result string
err = stmt.QueryRow(params...).Scan(&result) // 假设查询返回一个字符串
if err != nil {
return "", err
}
return result, nil
}
func main() {
result, err := FindByQueryPrepared("SELECT Name FROM Diver WHERE ID = ?", 1)
if err != nil {
log.Fatalf("Error: %v", err)
}
fmt.Println("Result:", result)
}代码解释：
- db.Prepare(statement): 预编译 SQL 语句。 占位符使用 ?，而不是 %s 或其他 printf 风格的格式化符号。
- stmt.QueryRow(params...).Scan(&result): 执行预编译语句，并将结果扫描到 result 变量中。
注意事项：
- SQL 注入: 使用预编译语句可以有效地防止 SQL 注入攻击。
- 类型安全: 确保传递给 QueryRow 的参数类型与数据库中的列类型匹配。
- 错误处理: 始终检查 sql.Open、db.Prepare 和 stmt.QueryRow 等函数的返回值，以确保没有发生错误。
- 数据库驱动: 确保导入了正确的数据库驱动 (例如 github.com/go-sql-driver/mysql)。
总结：
将空接口转换为字符串以进行数据库查询时，需要特别注意 SQL 注入的风险。推荐使用预编译语句，并确保传递的参数类型与数据库中的列类型匹配。如果必须使用 printf 格式化语法，请务必对输入进行验证和转义，以防止 SQL 注入攻击。
