Go ColumnTypes 推断动态查询字段的安全用法

做动态报表时，我通常会遇到一个看似简单、实际很容易混淆的需求：请求方可以选择返回哪些列，接口又要把不同列集合稳定地转成 JSON。安全做法是把职责拆开：列名只能从白名单映射到固定 SQL 标识符，查询条件和其他值全部使用占位参数；查询执行后，再用 Rows.ColumnTypes() 读取列名、数据库类型、可空性等元数据。ColumnTypes 能帮助推断结果结构，但它本身不是 SQL 注入防护。

动态列先过白名单，查询值再交给参数绑定

数据库参数占位符适合绑定值，通常不能把表名、列名或排序关键字当作参数传入。因此下面的 allowedColumns 保存的是服务端认可的 SQL 片段，而不是让用户提交任意字符串。字段集合为空、出现未知字段或重复字段时直接拒绝，能让结果顺序也保持可预测。

// 允许的列名映射到固定 SQL 标识符；请求只携带 map 的 key。
var allowedColumns = map[string]string{
    "id":     "o.id",
    "status": "o.status",
    "amount": "o.amount",
}

func buildSelect(requested []string) (string, error) {
    if len(requested) == 0 {
        return "", errors.New("至少选择一列") // 避免生成无列 SELECT。
    }
    parts := make([]string, 0, len(requested))
    seen := make(map[string]struct{}, len(requested))
    for _, name := range requested {
        column, ok := allowedColumns[name]
        if !ok {
            return "", fmt.Errorf("不支持的字段: %s", name) // 未知列不进入 SQL。
        }
        if _, exists := seen[name]; exists {
            return "", fmt.Errorf("重复字段: %s", name)
        }
        seen[name] = struct{}{}
        parts = append(parts, column)
    }
    return strings.Join(parts, ", "), nil
}

有了安全的列片段后，条件值仍然独立绑定。下面的 tenantID 不参与字符串拼接；实际驱动若使用 $1 等占位形式，只需按驱动规则替换占位符，白名单边界不变。

// 列片段来自白名单，租户值仍由驱动作为参数绑定。
selectSQL, err := buildSelect(requested)
if err != nil {
    return nil, err
}
query := "SELECT " + selectSQL + " FROM orders o WHERE o.tenant_id = ?"
rows, err := db.QueryContext(ctx, query, tenantID) // 值不拼接进 SQL。
if err != nil {
    return nil, err
}
defer rows.Close() // 及时归还连接，避免动态报表拖住连接池。

ColumnTypes 负责元数据，不能替代业务字段规则

查询成功后先取元数据，再开始遍历。官方文档说明 ColumnTypes 能返回类型、长度和 nullable 等信息，但部分信息可能受驱动能力影响。Name() 通常是字段名或别名，DatabaseTypeName() 是数据库类型名；Nullable() 和 Length() 返回的第二个值表示该信息是否可用。

// 元数据是结果形状提示；拿不到时要返回错误或采用保守策略。
columnTypes, err := rows.ColumnTypes()
if err != nil {
    return nil, fmt.Errorf("读取列元数据: %w", err)
}
columns, err := rows.Columns()
if err != nil || len(columns) != len(columnTypes) {
    return nil, errors.New("列名与列元数据数量不一致") // 防止按错位字段组装。
}
for i, columnType := range columnTypes {
    nullable, ok := columnType.Nullable()
    log.Printf("column=%s db_type=%s nullable=%t known=%t scan_type=%v",
        columns[i], columnType.DatabaseTypeName(), nullable, ok, columnType.ScanType())
}

按列创建扫描目标，NULL 保留为可表达的结果

动态列的关键不是提前声明一组固定变量，而是让扫描目标数量跟结果列数一致。把每个目标设为 *any 后，驱动返回的值由 database/sql 按规则交给接口值；NULL 可以保留为 nil，不会被粗暴地变成空字符串。

// 每一列都要有独立地址；扫描后再按列名建立结果对象。
result := make([]map[string]any, 0)
for rows.Next() {
    values := make([]any, len(columns))
    destinations := make([]any, len(columns))
    for i := range values {
        destinations[i] = &values[i] // Scan 需要可写地址，而不是值本身。
    }
    if err := rows.Scan(destinations...); err != nil {
        return nil, fmt.Errorf("扫描动态列: %w", err)
    }
    record := make(map[string]any, len(columns))
    for i, name := range columns {
        record[name] = values[i] // NULL 仍可表示为 nil。
    }
    result = append(result, record)
}
if err := rows.Err(); err != nil {
    return nil, fmt.Errorf("遍历查询结果: %w", err)
}
return result, nil

上线前用边界清单检查“安全用法”

我会把这段动态查询按四层复查。第一层是输入：请求字段是否只允许白名单 key，是否拒绝空集合和重复项。第二层是 SQL：只有固定列片段可以拼接，租户、时间、分页等值全部绑定。第三层是扫描：每次调用 Scan 前都经过 Next，结束后检查 Rows.Err，并确保 Rows.Close 执行。第四层是元数据：驱动不支持 Nullable、Length 或 ScanType 时，不把 ok=false 当成“确定为否”。

还要注意别名和多结果集。若 SQL 使用了别名，结果 key 应以 Columns() 返回值为准；如果驱动返回多个结果集，切换到下一个结果集后要重新读取列信息，不能复用上一组 ColumnTypes。这套方式适合报表、导出和通用查询接口，不适合把任意 SQL 交给前端执行。

相关问题

ColumnTypes 能防止 SQL 注入吗？

不能。它发生在查询返回结果之后，安全性要靠字段白名单、固定 SQL 片段和参数绑定。

Nullable 返回 false 就代表字段一定不为空吗？

只有第二个返回值为 true 时，这个判断才是驱动明确提供的元数据；如果 ok=false，应按未知处理。

为什么不直接用固定结构体 Scan？

固定结构体适合字段稳定的接口。字段集合变化时，按列数生成扫描目标并用列名组装 map 更灵活，但类型约束和 API 契约要由业务层补上。

ColumnTypes 读不到信息时该怎么做？

先区分“调用失败”和“某属性不支持”。调用失败应结束本次查询；单个属性的 ok=false 则采用保守默认或交给驱动专用适配层。