使用fmt.Sprintf拼接数据库更新语句时无法捕获reason值的问题

核心问题 #

你通过fmt.Sprintf拼接SQL语句时，reason变量未被正确填充，同时存在SQL语法错误和安全风险：

1. 字符串变量reason在SQL中需要用单引号包裹，但你直接用%s替换，未添加单引号；若reason为空，就会出现concat(error,' ',)的无效语法。
2. 直接拼接字符串构造SQL存在严重的SQL注入风险，且无法处理变量中的特殊字符（比如单引号）。

正确解决方案：使用参数化查询 #

绝对不要用字符串拼接生成SQL，改用数据库驱动支持的参数化查询，它会自动处理变量的转义和引号包裹，同时避免注入风险。

示例代码（适配MySQL，占位符用?）

if email.Event == "dropped" || email.Event == "bounce" || email.Event == "deferred" {
    reason := email.Reason
    sgID := email.SgMessageId

    // 参数化查询，将变量作为参数传递给Exec
    _, err := h.DB.Exec("UPDATE email SET erro = CONCAT(erro, ' ', ?) WHERE id_sendgrid = ?", reason, sgID)
    if err != nil {
        log.Fatal("Erro ao realizar upload no email com evento ERROR")
    }
    fmt.Println(email.Reason, email.SgMessageId, email.Response)
}

示例代码（适配PostgreSQL，占位符用$1/$2）

if email.Event == "dropped" || email.Event == "bounce" || email.Event == "deferred" {
    reason := email.Reason
    sgID := email.SgMessageId

    _, err := h.DB.Exec("UPDATE email SET erro = CONCAT(erro, ' ', $1) WHERE id_sendgrid = $2", reason, sgID)
    if err != nil {
        log.Fatal("Erro ao realizar upload no email com evento ERROR")
    }
    fmt.Println(email.Reason, email.SgMessageId, email.Response)
}

额外说明 #

• 参数化查询由数据库驱动处理变量替换，会自动处理空值、特殊字符转义，彻底避免你遇到的拼接错误。
• 你输出的错误语句中出现的+ where属于语法笔误，使用参数化查询后这类问题会自然消失。

内容的提问来源于stack exchange，提问作者Guilherme Rodrigues