为何使用push_bind的ORDER BY语句无法生效？

核心原因：参数绑定不能用于SQL语法元素 #

你用push_bind(col)处理排序列名是错误的，因为SQL的参数绑定机制是专门用来处理数据值（比如WHERE tenant_id = ?里的tenant_id）的，而列名、表名这类属于SQL语法结构的部分，不能用参数绑定。

当你调用push_bind(col)时，数据库会把传入的列名当成一个字符串字面量，相当于执行了ORDER BY 'column_name'——这时候数据库是在对所有行的同一个固定字符串值排序，自然不会改变结果顺序。而用push(col)是直接把列名拼进SQL语句，数据库会识别成合法的列名，排序逻辑就能正常工作。

正确做法：合法列名白名单+直接拼接 #

直接拼接列名有SQL注入风险，所以必须先对输入的列名做合法性校验：

1. 提前定义允许排序的列名白名单
2. 检查输入的列名是否在白名单内，非法列直接返回错误
3. 只拼接合法的列名到SQL语句中

另外你的原代码还有个小问题：循环里每次都添加ORDER BY，多个排序条件会生成无效SQL（比如ORDER BY col1 ASC ORDER BY col2 DESC），应该只写一次ORDER BY，用逗号分隔多个排序条件。

修改后的代码示例：

let mut query = QueryBuilder::new("SELECT * FROM player WHERE tenant_id = ");
query.push_bind(tenant_id);

// 定义允许排序的列名白名单，根据你的实际表结构调整
const ALLOWED_SORT_COLUMNS: &[&str] = &["id", "username", "level", "created_at"];

if let Some(order_by) = &input.order_by {
    query.push(" ORDER BY ");
    let mut is_first = true;

    for order in order_by {
        if !is_first {
            query.push(", ");
        }
        is_first = false;

        let ordering: Ordering<String> = order.into();
        match ordering {
            Ordering::Asc(col) => {
                if !ALLOWED_SORT_COLUMNS.contains(&col.as_str()) {
                    return Err(anyhow::anyhow!("非法排序列: {}", col));
                }
                query.push(col).push(" ASC");
            }
            Ordering::Desc(col) => {
                if !ALLOWED_SORT_COLUMNS.contains(&col.as_str()) {
                    return Err(anyhow::anyhow!("非法排序列: {}", col));
                }
                query.push(col).push(" DESC");
            }
        };
    }
}

let nodes = query
    .build_query_as::<PgPlayer>()
    .fetch_all(&*self.pool)
    .await?;
dbg!(nodes);

总结 #

• 不要用push_bind()处理列名、排序方向这类SQL语法元素，只用来绑定数据值
• 拼接列名前必须做白名单校验，避免SQL注入
• 多个排序条件要用逗号分隔，不要重复添加ORDER BY

内容的提问来源于stack exchange，提问作者Fred Hors