如何通过db.Exec()带参数执行ALTER USER MAPPING命令？

你遇到的问题核心是：PostgreSQL的参数化占位符（$1这类）仅支持替换SQL语句中的数据值，而ALTER USER MAPPING的OPTIONS子句中的参数属于命令语法的一部分，不属于数据值范畴，所以数据库驱动不会解析这个位置的占位符，直接将带$1的语句传给PostgreSQL，导致语法错误。

你的场景复现 #

执行代码片段：

if _, err := db.Exec(cmd, args...); err != nil {     
   return fmt.Errorf("failed to execute command: command %s %v", v.Command, err) 
}

传入的命令：

ALTER USER MAPPING FOR user1 SERVER myserver OPTIONS (SET password  $1 );

参数：["mypass"]

得到错误：

failed to execute command: command ALTER USER MAPPING FOR user1 SERVER myserver OPTIONS (SET password  $1 ); pq: syntax error at or near "$1"

而INSERT INTO table1 values ($1)能正常执行，是因为这里的$1是对应表列的数据值，属于参数化查询的支持范围，驱动会自动将占位符替换为转义后的参数值，再发送给数据库执行。

解决方案 #

由于ALTER USER MAPPING的OPTIONS不支持参数绑定，你需要用以下方式处理：

1. 安全的字符串拼接（需防范SQL注入）

如果参数来自可信源，或者能确保被正确转义，可以直接拼接SQL语句。推荐使用PostgreSQL驱动（如pgx）提供的转义函数处理参数，避免注入风险：

import (
    "context"
    "fmt"
    "github.com/jackc/pgx/v5"
)

// ...

password := "mypass"
// 转义字符串，避免SQL注入
escapedPwd := pgx.EscapeLiteral(context.Background(), password)
cmd := fmt.Sprintf("ALTER USER MAPPING FOR user1 SERVER myserver OPTIONS (SET password %s);", escapedPwd)

if _, err := db.Exec(cmd); err != nil {
    return fmt.Errorf("failed to execute command: %v", err)
}

2. 使用动态SQL（EXECUTE语句）

通过PostgreSQL的EXECUTE构造动态SQL，将参数传入动态语句中，这种方式比直接拼接更安全：

cmd := `EXECUTE 'ALTER USER MAPPING FOR user1 SERVER myserver OPTIONS (SET password $1)' USING $1;`
if _, err := db.Exec(cmd, "mypass"); err != nil {
    return fmt.Errorf("failed to execute command: %v", err)
}

注意：此方式需要当前数据库用户拥有EXECUTE相关权限。

内容的提问来源于stack exchange，提问作者Abhishek