修复Go SQL库中使用?参数执行INSERT语句的语法错误

嘿，这个问题我熟！你遇到的语法错误根源其实很简单——你在传递参数的时候多写了单引号。

咱们来拆解一下：当你用参数化查询时，Go的PostgreSQL驱动（pq）会自动帮你处理字符串参数的引号和转义工作。你现在传的是'username'，相当于给参数值额外套了一层单引号，最终生成的SQL语句会变成这样：

INSERT INTO user_account (username, password_hash) VALUES ('\'username\'', 'passwordhash');

这种嵌套的单引号直接违反了SQL语法规则，自然就会报syntax error at or near ","的错误。

正确的写法 #

你只需要去掉参数值外面的单引号，直接传递原始字符串即可：

_, err = db.Query(`INSERT INTO user_account (username, password_hash) VALUES (?, 'passwordhash');`, "username")

额外建议：用Exec()替代Query()做INSERT操作 #

另外提醒一下，db.Query()主要用于执行有结果集返回的查询（比如SELECT），对于INSERT/UPDATE/DELETE这类不返回结果的操作，更合适的是用db.Exec()，代码更规范：

_, err = db.Exec(`INSERT INTO user_account (username, password_hash) VALUES (?, ?);`, "username", "passwordhash")

顺便把password_hash也改成参数化传递，避免硬编码的同时也更安全，能防范潜在的SQL注入风险。

为什么直接写值没问题？ #

你直接写VALUES ("username", 'passwordhash')能运行，是因为这是SQL合法的字符串字面量写法（PostgreSQL同时支持双引号和单引号包裹字符串，但单引号是标准写法哦），但参数化查询的逻辑和直接写字面量不一样，驱动会帮你处理引号，所以不需要手动添加。

内容的提问来源于stack exchange，提问作者Joseph Petroske