如何解决GORM参数绑定生成PostgreSQL SCHEMA时的单引号问题并防注入？

你当前的代码：

err = db.Exec("CREATE SCHEMA ?", *org.Name).Error;

生成的SQL是：

CREATE SCHEMA 'org1'

这会触发PostgreSQL语法错误：

ERROR: syntax error at or near "$1" (SQLSTATE 42601)

原因是GORM的?占位符是用来绑定值类型参数的，而SCHEMA名称属于SQL标识符，PostgreSQL不允许用单引号包裹标识符，合法写法是直接写标识符或用双引号包裹（如CREATE SCHEMA org1或CREATE SCHEMA "org1"）。同时因为org.Name来自用户输入，必须防范SQL注入，不能直接拼接原始输入。

解决方案：用GORM的标识符转义方法 #

GORM的数据库方言（Dialector）提供了Quote方法，专门用来安全转义SQL标识符，既能生成符合PostgreSQL规范的语法，又能防范注入。

代码示例：

// 获取当前数据库的方言实例
dialector := db.Config.Dialector
// 转义用户输入的SCHEMA名称，生成带双引号的合法标识符
quotedSchemaName := dialector.Quote(*org.Name)
// 执行创建SCHEMA的SQL
err = db.Exec("CREATE SCHEMA " + quotedSchemaName).Error

这段代码会生成类似CREATE SCHEMA "org1"的合法SQL，即使用户输入包含特殊字符或恶意注入内容（比如org1"; DROP SCHEMA test; --），Quote方法会自动转义内部的双引号，最终生成"org1\"; DROP SCHEMA test; --"，PostgreSQL会将其识别为一个完整的SCHEMA名称，不会执行恶意操作。

你也可以用Raw方法替代Exec，效果一致：

quotedSchemaName := db.Config.Dialector.Quote(*org.Name)
err = db.Raw("CREATE SCHEMA " + quotedSchemaName).Error

关键注意事项 #

• 绝对不要直接拼接未转义的用户输入到SQL语句中，这会导致严重的SQL注入漏洞
• 只有值类型参数（如WHERE条件里的字段值）才能用?占位符绑定，标识符（表名、SCHEMA名、列名等）必须用专门的转义方法处理

内容的提问来源于stack exchange，提问作者Abdullah Rafi