reflect不能直接拼出安全SQL，因其仅能读取字段名、类型和标签，无法理解主键、空值、转义等业务语义，易致SQL注入、NULL写入、时间错乱；ORM仅用其做元数据映射，SQL构建依赖预编译与参数绑定。
为什么 reflect 不能直接拼出安全的 SQL
因为反射只能读结构体字段名、类型和标签，它不理解业务语义：哪个字段是主键、是否允许为空、要不要转义、值是否已被用户污染。硬用 reflect 拼 "INSERT INTO user (name, age) VALUES (?, ?)" 看似通用，实则埋了 SQL 注入、NULL 写入、时间格式错乱三颗雷。
真正 ORM 底层（比如 gorm 或 sqlc）只在「元数据映射」阶段用反射——解析 type User struct { ID int `gorm:"primaryKey"` } 这类标签，把结构体和表/列对应起来；SQL 构建本身由预编译语句 + 类型安全参数绑定完成，和反射无关。
- 别在运行时靠
reflect.Value.Interface()直接塞进 SQL 字符串里 - 字段标签（如
db:"user_name,omitempty"）必须显式定义，否则反射拿不到列名 -
reflect.StructField.Anonymous == true会引发嵌套结构误展开，常见于嵌入BaseModel时漏处理
怎么用 reflect 正确提取结构体映射关系
目标很窄：从 struct{} 到 map[string]string（字段名 → 列名），且跳过非导出字段、忽略空标签、支持嵌入结构体扁平化。
关键不是“怎么遍历”，而是“怎么终止递归”和“怎么合并标签”。例如：
立即学习“go语言免费学习笔记（深入）”；
type User struct {
ID int `db:"id"`
Name string `db:"name"`
Extra Info `db:",inline"`
}
type Info struct {
CreatedAt time.Time `db:"created_at"`
}这里 Extra 是匿名字段，需展开，但它的 CreatedAt 要继承外层 db 标签前缀（或按规则拼接）。
- 用
reflect.TypeOf(t).NumField()遍历，对每个Field调用Tag.Get("db") - 若返回空字符串，跳过该字段（不映射）；若为
"-"，显式忽略 - 遇到
Anonymous == true且Tag.Get("db") == ",inline"，递归处理其字段，并用当前字段名作前缀（如"extra_created_at"） - 切忌用
reflect.Value.FieldByName()反复取值——只在最后生成参数列表时才取一次
database/sql 的 Query 和 Exec 不接受反射生成的 SQL 字符串
Go 标准库要求 SQL 是静态字符串（或至少是确定性拼接），因为 sql.Stmt 预编译依赖字面量。你用反射拼出 "SELECT * FROM " + tableName，哪怕 tableName 来自结构体名，也会导致无法复用 *sql.Stmt，性能掉一截，还绕过 SQL 注入检测逻辑。
真实 ORM 做法是：反射只参与「模板选择」，不是「字符串拼接」。比如：
- 对
INSERT固定用"INSERT INTO %s (%s) VALUES (%s)"模板 - 用反射算出列名列表和问号个数，填进模板，得到确定 SQL
- 再调用
db.Prepare()，传入[]interface{}参数列表（仍靠反射取值，但不拼 SQL） - 如果表名/列名来自用户输入（如动态分表），必须走白名单校验，不能靠反射兜底
容易被忽略的零值与指针字段陷阱
结构体字段是 *string 或 sql.NullString 时，reflect.Value.IsNil() 必须检查，否则 Interface() 会 panic。更麻烦的是：零值（如 int 字段为 0）是否写入数据库，取决于字段标签（db:",omitempty"）还是业务逻辑？反射本身不判断，但你的映射层必须明确策略。
- 对指针类型，先
v.Kind() == reflect.Ptr && v.IsNil()，再决定跳过还是写NULL -
omitempty仅对值类型有效（string,int），对指针无效——*string为nil时不会被 omitempty 吃掉，得手动处理 -
time.Time的零值是0001-01-01，直接入库会报错，必须提前校验是否v.IsZero() - 嵌入结构体中的同名字段（如两个
ID）会导致反射遍历时覆盖，需按声明顺序或加命名空间区分
反射只是把结构体“摊开”的工具，它不承诺安全，也不替代 SQL 构建规则。真正难的部分，永远在标签语义的统一解释、零值策略的全局约定、以及预编译语句的生命周期管理上。
