sql - Postgres 无法确定 Golang 应用程序中参数 $1 的数据类型

Question

我正在 Golang 中创建一个应用程序，它使用 Postgres 和 pq 驱动程序。我想制作一个可以从我的数据库中选择用户确定的字段的函数，但是我得到一个错误:

pq: could not determine data type of parameter $1

下面是产生这个错误的代码:

var ifc interface{}

if err := conn.QueryRow("SELECT $1 FROM "+db+" WHERE uuid=$3 OR uri=$4 LIMIT 1", field, UUIDOrURI, UUIDOrURI).Scan(&ifc); err != nil {
    if err == sql.ErrNoRows {
        return http.StatusNotFound
    }

    log.Println(err)

    return http.StatusInternalServerError
}

为什么我不能使用$1 插入我想要SELECT 的字段？还有其他方法吗？

Answer 1

字段名称不能使用占位符。您必须直接构建查询，如:

"SELECT `" + field + "` FROM "

为避免 SQL 注入(inject)，请确保该字段事先是允许字段列表的一部分。