动态 SQL 设置 Golang

Question

我对 SQLite 查询的结构有疑问。 我正在尝试更新表中用户选择的值，该值通过用户名引用该行。 该表称为Data并具有以下列： USERNAME,PASSWORD,ADDRESS,NOTES 。

我正在为 GO ( _ "github.com/mattn/go-sqlite3" ) 使用 SQL 驱动程序，这是我的查询：

...
stmt, err := db.Prepare("UPDATE Data SET ?=? WHERE USERNAME=?")
check(err)
res, err := stmt.Exec(splittedQuery[0], splittedQuery[1],splittedQuery[2])
...

从这个序列我只能得到一个 syntax error: near "?": syntax error 。 我应该如何管理这个？ 如果这是一个微不足道的问题，我很抱歉，我只是 GO 的新手，并试图从中学到一些东西。

谢谢

Answer 1

您不能在 SQL 中执行此操作。它也不特定于 sqlite。 参数化占位符仅用于值，您不能用它更改查询的结构。 以下是一些文档链接供您参考：

• https://jmoiron.github.io/sqlx/#bindvars
• https://use-the-index-luke.com/sql/where-clause/bind-parameters

您要做的是构建动态查询。 您可以通过自己构建查询字符串来做到这一点：

query := "UPDATE Data SET " + col_name + "=? WHERE USERNAME=?"

但是，根据 column_name 的数据来源，您需要谨慎对待 sql 注入（这是另一个主题，为了好玩，您可以查看https://imgs.xkcd.com/comics/exploits_of_a_mom.png ） .

还有一些图书馆可以帮助你。 例如命名一个，你可以检查这个https://github.com/Masterminds/squirrel