Golang中使用sqlx包正确传递SQL请求的参数

golang学习网今天将给大家带来《Golang中使用sqlx包正确传递SQL请求的参数》，感兴趣的朋友请继续看下去吧！以下内容将会涉及到等等知识点，如果你是正在学习Golang或者已经是大佬级别了，都非常欢迎也希望大家都能给我建议评论哈~希望能帮助到大家！

在我的 golang (1.15) 应用程序中，我使用 sqlx 包来处理 postgresql 数据库 (postgresql 12.5)。

当我尝试使用参数 postgresql 数据库执行 sql 语句时，它会引发错误：

错误：无法确定参数 $1 的数据类型（sqlstate 42p18）： pgerror 空

根据官方文档，这个错误意味着传递了一个indeterminate datatype。

organizationid 具有价值。它不是 null/nil 或空。而且，它的数据类型是简单的内置数据类型 *string。

带有查询方法的代码片段：

rows, err := cr.db.query(`
    select
        channels.channel_id::text,
        channels.channel_name::text
    from
        channels
    left join organizations on
        channels.organization_id = organizations.organization_id
    where
        organizations.tree_organization_id like concat( '%', '\', $1, '%' );`, *organizationid)

if err != nil {
    fmt.println(err)
}

我还尝试使用 namedquery 但它也会引发错误：

错误：“：”处或附近的语法错误（sqlstate 42601）：pgerror null

带有 namedquery 方法的代码片段：

args := map[string]interface{}{"organization_id": *organizationId}

rows, err := cr.db.NamedQuery(`
    select
        channels.channel_id::text,
        channels.channel_name::text
    from
        channels
    left join organizations on
        channels.organization_id = organizations.organization_id
    where
        organizations.tree_organization_id like concat( '%', '\', :organization_id, '%' );`, args)

if err != nil {
    fmt.Println(err)
}

参数很可能没有正确传递给我的请求。有人可以解释如何解决这种奇怪的行为吗？

p.s. 我必须立即说我不想通过 concatenation 或通过 fmt.sprintf 方法形成 sql 查询。这不安全。

正确答案

嗯，我找到了这个问题的解决方案。

我在 sqlx 包的 github 存储库中找到了 discussion。

在第一个选项中，我们可以在查询之外连接搜索字符串。这应该仍然可以免受注入攻击。

尝试此操作的第二个选择：concat( '%', '\', $1::text, '%' )。正如 Bjarni Ragnarsson 在评论中所说，PostgreSQL 无法推断出 $1 的类型。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Golang中使用sqlx包正确传递SQL请求的参数》文章吧，也可关注golang学习网公众号了解相关技术文章。