如何在Go中动态传递未知数量及名称的SQL参数？

要实现未知参数名和数量的动态SQL查询，核心思路是动态构建WHERE子句占位符，同时收集对应的参数值，最后通过db.Query()的可变参数特性传入。这样既保证灵活性，又能避免SQL注入风险。

具体步骤： #

• 用map[string]interface{}接收动态参数（键为数据库列名，值为对应查询值）
• 遍历map，拼接列名 = ?形式的条件语句，同时收集参数值到切片
• 处理无参数的边界情况（此时不添加WHERE子句）
• 用拼接好的SQL和参数切片执行查询

完整示例代码： #

import (
    "database/sql"
    "fmt"
    "strings"
)

func main() {
    // 数据库连接（保持原有逻辑）
    db, err := sql.Open("mysql", "user:password@tcp(host:port)/database")
    if err != nil {
        panic(err)
    }
    defer db.Close()

    // 模拟动态参数：这里可以是任意数量的键值对，键为列名
    dynamicParams := map[string]interface{}{
        "mycolumn": "myvalue",
        "age":      25,
        "status":   "active",
    }

    // 构建SQL基础语句
    sqlBase := "SELECT * FROM mytable"
    var conditions []string
    var args []interface{}

    // 遍历动态参数，生成条件和参数列表
    for col, val := range dynamicParams {
        conditions = append(conditions, fmt.Sprintf("%s = ?", col))
        args = append(args, val)
    }

    // 如果有条件，拼接WHERE子句
    if len(conditions) > 0 {
        sqlBase += " WHERE " + strings.Join(conditions, " AND ")
    }

    // 执行查询：用...将参数切片展开为可变参数
    rows, err := db.Query(sqlBase, args...)
    if err != nil {
        panic(err)
    }
    defer rows.Close()

    // 结果扫描（可根据实际表结构调整字段）
    for rows.Next() {
        var id int
        var name string
        var age int
        var status string
        err := rows.Scan(&id, &name, &age, &status)
        if err != nil {
            panic(err)
        }
        fmt.Println(id, name, age, status)
    }
    if err = rows.Err(); err != nil {
        panic(err)
    }
}

关键细节说明： #

• SQL注入防护：所有参数值都通过?占位符传递，数据库驱动会自动处理转义，避免注入风险，绝对不能直接将参数值拼接到SQL字符串中。
• 参数遍历顺序：map的遍历顺序不固定，但占位符和参数值一一对应，只要条件是AND组合，顺序不影响查询逻辑。
• 边界处理：如果dynamicParams为空，SQL会退化为SELECT * FROM mytable查询全表，可根据业务需求添加默认条件。

内容的提问来源于stack exchange，提问作者John Scott