使用Go的pgx/v5驱动修改Postgres用户密码时遇语法错误

执行以下pgx/v5代码修改PostgreSQL用户密码时：

_, err = conn.Exec(context.Background(), "ALTER USER $1 WITH PASSWORD $2", username, password)
if err != nil {
    fmt.Printf("Error altering user: %v\n", err)
    return
}

出现错误：

error: syntax error at or near "$1" (SQLSTATE 42601)

问题原因 #

PostgreSQL的参数化占位符（$1、$2这类）仅支持替换数据值（比如密码、字段值），不能用于替换标识符（比如用户名、表名、列名）。ALTER USER后面的用户名属于数据库标识符，用$1占位会违反SQL语法规则，导致报错。

解决方法 #

需要将用户名作为安全转义后的标识符嵌入SQL语句，同时保持密码的参数化（避免注入风险）。pgx提供了pgx.Identifier类型来安全处理标识符：

import (
    "context"
    "fmt"
    "github.com/jackc/pgx/v5"
)

// ... 其他业务代码 ...

// 用pgx.Identifier封装用户名，自动处理特殊字符
userIdentifier := pgx.Identifier{username}
// 构造SQL：用户名用转义后的标识符，密码用参数化占位符
sqlStmt := fmt.Sprintf("ALTER USER %s WITH PASSWORD $1", userIdentifier.Sanitize())

_, err = conn.Exec(context.Background(), sqlStmt, password)
if err != nil {
    fmt.Printf("Error altering user: %v\n", err)
    return
}

关键说明 #

• userIdentifier.Sanitize()会自动对用户名进行转义，处理包含空格、引号、特殊符号的用户名，完全避免SQL注入风险。
• 密码依然使用参数化占位符$1，既符合语法要求，又能防止密码中的特殊字符破坏SQL结构，同时避免注入。

内容的提问来源于stack exchange，提问作者user89978