在使用 GORM（Go的ORM库）时，防止SQL注入依然是一个非常重要的考虑因素。好消息是，GORM 已经在大多数情况下内建了防止SQL注入的机制，主要通过参数化查询来避免直接拼接用户输入。以下是一些关键方法和技巧，帮助你更好地理解如何利用 GORM 防止 SQL 注入：
GORM 使用的查询方式通常是参数化查询，这意味着它会将查询语句与输入数据分开，从而避免用户输入直接嵌入到 SQL 语句中。GORM 会自动处理输入的数据，将其作为查询参数，而不是拼接在查询语句中。
Life is like a journey
Where 方法package main
import (
"fmt"
"log"
"gorm.io/driver/mysql"
"gorm.io/gorm"
)
type User struct {
ID uint
Name string
Age int
}
func main() {
dsn := "user:password@tcp(localhost:3306)/dbname"
db, err := gorm.Open(mysql.Open(dsn), &gorm.Config{})
if err != nil {
log.Fatal(err)
}
// 使用参数化查询，避免SQL注入
var user User
err = db.Where("name = ? AND age = ?", "Alice", 30).First(&user).Error
if err != nil {
log.Fatal(err)
}
fmt.Printf("User: %v\n", user)
}
在这个例子中，Where 方法的 name = ? AND age = ? 使用了参数占位符 ?，GORM 会自动将 "Alice" 和 30 的值安全地作为参数传递到 SQL 查询中，从而防止 SQL 注入。
Find 方法var users []User
err := db.Where("age > ?", 20).Find(&users).Error
if err != nil {
log.Fatal(err)
}
这里的查询条件 age > ? 也是通过参数化查询处理的，参数 20 是由 GORM 自动绑定的，避免了 SQL 注入的风险。
不要直接拼接用户输入到 SQL 查询中，这样很容易引起 SQL 注入漏洞。尽量使用 GORM 的 查询构造方法（如 Where, First, Find, Preload 等）来避免拼接字符串。
query := "SELECT * FROM users WHERE name = '" + userInput + "'"
db.Raw(query).Scan(&users)
这种写法会直接将 userInput 拼接到 SQL 查询中，攻击者可以通过注入 SQL 语句来篡改查询，导致 SQL 注入漏洞。
db.Where("name = ?", userInput).Find(&users)
Exec 执行 SQL 查询时也要使用参数化查询如果你需要执行 SQL 命令（比如插入、更新或删除数据），同样要避免拼接 SQL 字符串。
stmt := "INSERT INTO users (name, age) VALUES (?, ?)"
db.Exec(stmt, "John Doe", 28)
在这个例子中，GORM 会自动将 "John Doe" 和 28 作为参数绑定到 SQL 语句中，避免 SQL 注入。
Select 进行字段筛选如果你只需要查询某些字段，使用 Select 方法来指定字段，并确保使用参数化查询。
var users []User
err := db.Select("name, age").Where("age > ?", 20).Find(&users).Error
if err != nil {
log.Fatal(err)
}
尽量避免使用动态拼接的 SQL 语句，特别是在需要接收用户输入作为查询条件时。如果确实有必要构建动态查询，可以使用 GORM 的链式查询 来处理。
field := "age"
value := "30"
query := "SELECT * FROM users WHERE " + field + " = " + value
db.Raw(query).Scan(&users)
这个例子容易受到 SQL 注入攻击，field 和 value 都来自用户输入，恶意用户可以通过构造输入改变 SQL 查询逻辑。
db.Where("age = ?", value).Find(&users)
GORM 通过自动迁移和模型验证，确保数据库结构与代码中的模型一致，避免不必要的 SQL 注入风险。同时，确保你的模型字段类型正确，防止类型错误导致的潜在风险。
GORM 在大多数情况下会自动为你处理参数化查询，因此它本身已具备防止 SQL 注入的机制。使用 GORM 时，推荐遵循以下最佳实践来避免 SQL 注入：
Where, Find, First, Preload 等），而不是手动拼接 SQL 语句。通过这些方式，您可以大大降低 SQL 注入的风险，并确保 Go 应用与数据库的交互更加安全。