在 go 使用 database/sql 时，? 占位符无法用于动态指定 order by 字段名；必须通过字符串拼接构造查询，但需严格校验列名以防止 sql 注入。
在 go 使用 database/sql 时，? 占位符无法用于动态指定 order by 字段名；必须通过字符串拼接构造查询，但需严格校验列名以防止 sql 注入。
在 Go 应用中对接 MySQL 时，开发者常期望像 WHERE 条件一样，用参数化查询（如 db.Query("SELECT * FROM Apps ORDER BY ? DESC", "title")）安全地动态指定排序字段。但该写法不会报错，也不会生效——因为 SQL 驱动将 ? 仅视为值占位符（value placeholder），而非标识符（identifier）占位符。ORDER BY 后的字段名属于 SQL 结构的一部分，必须在查询编译前确定，不能被参数化。
✅ 正确做法：拼接 + 白名单校验
推荐使用 fmt.Sprintf 拼接列名，但绝不可直接插入用户输入。关键在于对列名进行严格白名单验证：
import (
"database/sql"
"fmt"
"regexp"
)
var validColName = regexp.MustCompile(`^[A-Za-z0-9_]+$`)
func queryWithOrderBy(db *sql.DB, col string, desc bool) (*sql.Rows, error) {
// 1. 校验列名是否符合安全模式（仅字母、数字、下划线）
if !validColName.MatchString(col) {
return nil, fmt.Errorf("invalid column name: %s", col)
}
// 2. 构建安全的 ORDER BY 子句
orderDir := "ASC"
if desc {
orderDir = "DESC"
}
query := fmt.Sprintf("SELECT * FROM Apps ORDER BY %s %s", col, orderDir)
return db.Query(query)
}
// 使用示例
rows, err := queryWithOrderBy(db, "title", true)
if err != nil {
log.Fatal(err)
}
defer rows.Close()⚠️ 重要注意事项
- 永远不要跳过校验：若 col 来自 HTTP 查询参数（如 /apps?sort=title&order=desc），未校验即拼接将导致严重 SQL 注入漏洞（例如传入 title; DROP TABLE Apps-- 或 (SELECT SLEEP(10))）。
- 避免“转义”列名的错误思路：MySQL 不支持对标识符使用 mysql_real_escape_string 类函数；反引号包裹（如 `%s`）不能替代白名单校验，仅能防止语法错误，无法阻止恶意逻辑注入。
-
扩展建议：
- 将合法列名列在常量或配置中（如 validCols = map[string]bool{"title": true, "created_at": true, "status": true}），运行时查表比正则更可控；
- 对排序方向（ASC/DESC）也做枚举校验，避免传入 DESC; -- 等注入片段；
- 在高安全要求场景，优先考虑使用 ORM（如 GORM）的 Order() 方法，其内部已实现安全处理。
✅ 总结
Go 的 database/sql 不支持 ORDER BY ? 是设计使然，而非缺陷。安全动态排序的核心原则是：结构由代码控制，数据由参数绑定。列名属于 SQL 结构，必须通过白名单/枚举+严格校验后拼接；而 WHERE 中的值才应交由 ? 参数化。遵循此原则，即可兼顾灵活性与安全性。
