Question

我有以下sql语句：

SELECT pk, up FROM mytable WHERE 2 > 1 LIMIT 10

显然，这只是为了简单起见。我可以参数化任何整数：

SELECT pk, up FROM mytable WHERE 2 > $1 LIMIT 10

但是，当我尝试参数化运算符时，例如：

SELECT pk, up FROM mytable WHERE 2 $1 1 LIMIT 10

我明白了：

pq: syntax error at or near "$1"

完整代码：

package main

import (
    "database/sql"
    _ "github.com/lib/pq"
    "log"
)

func main() {
    log.SetFlags(log.Lshortfile)
    Db, err := sql.Open("postgres", "user=yoitsmeletmein password=supersecretyo host=what.a.host dbname=mydb sslmode=require")
    if err != nil {
        log.Fatal("Cannot connect to db: ", err)
    }
    q := `SELECT pk FROM mytable WHERE 2 $1 1 LIMIT 10`
    params := []interface{}{">"}
    rows, err := Db.Query(q, params...)
    if err != nil {
        log.Println(err)
    } else {
        defer rows.Close()
        for rows.Next() {
            var pk int64
            if err := rows.Scan(&pk); err != nil {
                log.Fatal(err)
            }
            log.Println(pk)
        }
    }

}

Answer 1

预备语句允许参数化值，没有别的。从一开始就参数化运算符是没有意义的，如果不了解相关运算符就无法准备语句。这对于SQL注入打开向量是有潜在危险的。

要切换运算符，您必须在客户端中连接新的查询字符串，或者使用服务器端过程语言使用动态SQL ，默认情况下是plpgsql。

如何对运营商进行参数化？

1 个答案: