Go语言MySQL查询中能否使用?占位符替代列名？

嘿，好问题！直接给你结论：不行，?占位符没办法用来指定列名（或者表名、数据库名这类SQL标识符），它只能用来绑定数据值（比如WHERE id = ?这种场景里的数值/字符串）。

为什么你的示例代码达不到预期？ #

你写的这段代码：

qry, err := db.Prepare("SELECT ? FROM persons")
if err != nil {
    log.Fatal(err)
}
defer qry.Close()
rows, err := qry.Query("firstName")

实际执行时，数据库会把?替换成字符串常量'firstName'，相当于跑了这句SQL：

SELECT 'firstName' FROM persons

结果就是每一行都会返回字符串firstName，而不是persons表中firstName列的真实数据——这显然不是你想要的效果。

这是因为预编译语句的机制是：数据库先解析SQL的结构（确定要操作的表、列，语法是否合法），之后才会把占位符替换成具体数据值。列名属于SQL语法的一部分，不是数据值，所以预编译阶段数据库没法识别你传入的列名，只能把它当成普通字符串处理。

正确的动态列名查询方式 #

如果需要动态指定列名，你得自己拼接SQL字符串，但一定要严格防范SQL注入风险！安全的做法是：

1. 定义一个允许查询的列名白名单
2. 检查要查询的列名是否在白名单内
3. 确认合法后再拼接SQL

比如修改你的代码：

import "fmt"
import "log"

// 第一步：定义允许查询的列名白名单，控制可查询的范围
allowedColumns := map[string]bool{
    "firstName": true,
    "lastName":  true,
    "age":       true,
    // 可根据实际表结构添加更多合法列
}

// 假设这是你要查询的列名（可能来自用户输入）
targetColumn := "firstName"

// 第二步：校验列名是否合法，拒绝非法输入
if !allowedColumns[targetColumn] {
    log.Fatal("非法列名，不允许查询")
}

// 第三步：安全拼接SQL语句
sqlStr := fmt.Sprintf("SELECT %s FROM persons", targetColumn)

// 执行查询
rows, err := db.Query(sqlStr)
if err != nil {
    log.Fatal(err)
}
defer rows.Close()

// 后续处理查询结果...
for rows.Next() {
    var value string
    err := rows.Scan(&value)
    if err != nil {
        log.Fatal(err)
    }
    fmt.Println(value)
}

关键提醒 #

永远不要直接把用户输入的内容（比如前端传过来的列名）直接拼到SQL里！如果不做白名单校验，攻击者可以构造恶意列名触发SQL注入攻击，比如传入firstName; DROP TABLE persons;，你的数据表可能直接被删除。白名单校验是最安全的防御方式。

内容的提问来源于stack exchange，提问作者user9538230