Go操作CockroachDB插入部分字段时如何编写防SQL注入的安全INSERT语句

你之前的写法报错是因为参数化查询仅支持对SQL中的值进行占位，表名、字段名这类SQL语法结构部分不能用参数占位，你尝试把字段数组作为参数传入替换$1，不符合PostgreSQL（CockroachDB兼容PG语法）的语法规范，所以触发语法错误。

你可以通过「固定白名单校验字段+动态拼接SQL结构+参数化传值」的方式实现需求，安全性和原有写法完全一致，可100%防范SQL注入：

实现逻辑说明 #

1. 所有允许插入的字段提前定义为常量（你已经做了这一步），所有拼接进SQL的字段都从白名单常量中取，完全杜绝用户输入拼入SQL结构
2. 动态拼接有值的字段列表，同时生成对应数量的参数占位符$1、$2...
3. 按占位符顺序收集对应的值，用参数化方式执行查询

代码示例 #

import (
    "fmt"
    "strings"
    // 其余原有依赖不变
)

var (
    WH_ENDPOINT   = "endpoint"
    WH_ENABLE     = "enable"
    WH_AUTHTOKEN  = "auth_token"
    WH_CLIENTCERT = "client_cert"
    // 白名单校验，确保不会有非法字段拼入SQL
    allowFields = map[string]bool{
        WH_ENDPOINT: true, WH_ENABLE: true, WH_AUTHTOKEN: true, WH_CLIENTCERT: true,
    }
)

// 原有请求解析逻辑不变
reqDecoder := json.NewDecoder(req.Body)
request := &whPOSTReq{}
err := reqDecoder.Decode(request)
if err != nil {
    // 自行处理解析错误
    return
}

// 收集有值的字段和对应参数
var fields []string
var args []interface{}

if request.Endpoint != "" {
    fields = append(fields, WH_ENDPOINT)
    args = append(args, request.Endpoint)
}
if request.Enable != "" {
    fields = append(fields, WH_ENABLE)
    args = append(args, request.Enable)
}
if request.AuthToken != "" {
    fields = append(fields, WH_AUTHTOKEN)
    args = append(args, request.AuthToken)
}
if request.ClientCert != "" {
    fields = append(fields, WH_CLIENTCERT)
    args = append(args, request.ClientCert)
}

// 边界处理：没有传任何有效字段时直接返回错误
if len(fields) == 0 {
    // 自行处理参数非法逻辑
    return
}

// 动态生成参数占位符：$1,$2,$3...
placeholders := make([]string, len(args))
for i := range placeholders {
    placeholders[i] = fmt.Sprintf("$%d", i+1)
}

// 拼接SQL语句，注意你原表名为wh，之前示例中的mytable为笔误，可按需调整
sqlCmd := fmt.Sprintf(
    "INSERT INTO wh (%s) VALUES (%s)",
    strings.Join(fields, ","),
    strings.Join(placeholders, ","),
)

// 参数化执行SQL
_, err = db.Exec(sqlCmd, args...)
if err != nil {
    // 自行处理执行错误
}

• 该方案安全性和原有全量参数化写法完全一致：所有拼入SQL的字段都是提前定义的常量，没有任何用户可控内容进入SQL结构，值都通过参数化传递，完全避免SQL注入风险
• 如果你希望未传递的字段插入空字符串而非NULL（和原有全量插入行为一致），不需要判断字段是否为空，直接把四个字段都加入fields、所有值都加入args即可，无需动态拼接
• 后续需要新增可插入字段时，只要把字段加入白名单常量即可，逻辑可直接复用

内容的提问来源于stack exchange，提问作者cpuNram