不能直接用 reflect 拼 SQL 字符串，因 reflect 不处理 SQL 安全性，易致注入漏洞；应通过反射提取字段名（经白名单校验）和值，再交由 database/sql 参数化绑定，字段名用 struct tag 控制，值走 ? 占位符。
为什么不能直接用 reflect 拼 SQL 字符串
因为 reflect 本身不处理 sql 安全性，它只负责读取结构体字段值；直接拼接会埋下 sql 注入漏洞。比如 reflect.valueof(user).fieldbyname("name").string() 返回的字符串如果含单引号或分号，直接插进 "where name = '" + name + "'" 就危险了。
真正该做的是：用 reflect 提取字段名和值，但把值交给数据库驱动（如 database/sql）做参数化绑定，而不是自己拼 SQL。
- 字段名可反射获取，用于生成列名或 WHERE 条件键，但必须白名单校验（防止传入
"id; DROP TABLE users"这类字段名） - 字段值必须走
?或$1占位符，由db.Query或db.Exec绑定 - 忽略未导出字段（
reflect.Value.CanInterface()为 false 的跳过）
reflect.StructTag 怎么控制字段映射到 SQL 列名
别硬编码结构体字段名和数据库列名的对应关系，用 struct tag 更可控。例如：
type User struct {
ID int `db:"id"`
Name string `db:"user_name"`
Age int `db:"age"`
}
反射时用 field.Tag.Get("db") 取列名，没 tag 就 fallback 到字段名（转小写），但要加检查：空字符串、含空格、以数字开头的列名直接 panic 或跳过。
- tag 值为空或非法时，建议 log 警告并跳过该字段，不参与 SQL 构建
- 区分
SELECT和WHERE场景：SELECT 用所有有效 tag 字段，WHERE 只用非零值字段（如int非 0、string非空） - 避免递归处理嵌套结构体——
reflect能读，但 SQL 表通常不支持点号列名（addr.city），这类字段应显式忽略
如何用 reflect 动态生成 WHERE 条件和参数列表
核心是分离「条件片段」和「参数值」：每轮循环拿到一个字段名（从 tag）、一个值，若值有效，就追加 "col = ?" 到条件切片，同时把值 append 到参数切片。
初始化并管理阿里云SDK Go 客户端，涵盖 sync.Once 单例、goroutine 安全、endpoint 与 region 配置、VPC 端点及调试。
立即学习“go语言免费学习笔记（深入）”；
示例逻辑片段：
var wheres []string
var args []interface{}
v := reflect.ValueOf(u).Elem()
t := reflect.TypeOf(u).Elem()
for i := 0; i < v.NumField(); i++ {
field := t.Field(i)
value := v.Field(i)
if !value.CanInterface() {
continue
}
col := field.Tag.Get("db")
if col == "" {
col = strings.ToLower(field.Name)
}
if !isValidColumn(col) {
continue
}
if !isZero(value.Interface()) {
wheres = append(wheres, col+" = ?")
args = append(args, value.Interface())
}
}
whereClause := strings.Join(wheres, " AND ")
-
isZero要自定义：对指针类型先value.Elem()再判断；对 time.Time 不能只看是否为零值时间，得按业务决定是否参与过滤 - 注意
value.Interface()可能 panic（如未导出字段），所以前面必须有value.CanInterface()检查 - 参数顺序必须和
?出现顺序严格一致，否则db.Query("SELECT * FROM u WHERE "+whereClause, args...)会错绑
哪些类型在反射后容易导致 SQL 绑定失败
不是所有 Go 类型都能被 database/sql 驱动自动转换。反射拿到的 reflect.Value 如果是自定义类型、未实现 driver.Valuer 的 time 包别名、或底层是 unsafe.Pointer 的类型，value.Interface() 返回的值传给 db.Query 会报 "unsupported type" 错误。
- 常见踩坑类型：
type UserID int64（未实现driver.Valuer）、type JSONB []byte（需手动json.Marshal）、time.Time在某些驱动里要求指针 - 稳妥做法：对每个字段值做类型归一化——
switch value.Kind()，把reflect.String、reflect.Int、reflect.Bool等基础类型转成对应 Go 基础类型再 append；其余统一走fmt.Sprintf("%v", value.Interface())（仅限调试，生产环境应拒绝未知类型） - 特别注意 nil 指针：反射中
value.Kind() == reflect.Ptr && value.IsNil()，这种值不能直接Interface()，应跳过或显式设为 SQLNULL（用sql.NullString等包装）
字段名校验、值有效性判断、类型归一化这三步缺一不可，少一步就可能在某个边缘 case 上崩掉——而且往往不是 panic，而是静默错绑或注入，更难排查。
