本文详解如何在go中通过go-sql-driver/mysql安全启用多语句（multistatements=true），解决存储过程批量调用报错error 1064/1312、分页+总数合并查询、sql注入防护等关键实践问题。
本文详解如何在go中通过go-sql-driver/mysql安全启用多语句（multistatements=true），解决存储过程批量调用报错error 1064/1312、分页+总数合并查询、sql注入防护等关键实践问题。
在使用 github.com/go-sql-driver/mysql 驱动连接 MySQL 时，若尝试在单条 db.Exec() 或 db.Query() 中执行多个 SQL 语句（例如连续调用多个 CALL stored_procedure(?, ?)），默认会触发 MySQL 语法错误 1064 或 存储过程错误 1312（PROCEDURE xxx can't return a result set in the given context）。根本原因在于：该驱动默认禁用多语句模式（multiStatements=false），这是出于安全考虑的主动限制——防止 SQL 注入攻击者利用分号拼接恶意语句（如 '; DROP TABLE users; --）。
✅ 正确启用多语句支持的两种方式
方式一：DSN 字符串参数（推荐，简洁明确）
import (
"database/sql"
_ "github.com/go-sql-driver/mysql"
)
dsn := "user:password@tcp(127.0.0.1:3306)/mydb?multiStatements=true&parseTime=true&charset=utf8mb4"
db, err := sql.Open("mysql", dsn)
if err != nil {
log.Fatal("failed to open DB:", err)
}
defer db.Close()⚠️ 注意：multiStatements=true 必须作为 DSN 查询参数显式添加，且大小写不敏感（True/1/true 均可），但建议统一用小写 true 以符合 Go 生态惯例。
方式二：mysql.Config 结构体（类型安全，适合复杂配置）
import (
"database/sql"
"github.com/go-sql-driver/mysql"
)
cfg := mysql.NewConfig()
cfg.User = "user"
cfg.Passwd = "password"
cfg.Net = "tcp"
cfg.Addr = "127.0.0.1:3306"
cfg.DBName = "mydb"
cfg.MultiStatements = true // 关键：启用多语句
cfg.ParseTime = true
cfg.Charset = "utf8mb4"
connector, err := mysql.NewConnector(cfg)
if err != nil {
log.Fatal("failed to create connector:", err)
}
db := sql.OpenDB(connector)
defer db.Close()? 实际应用示例
1. 批量调用存储过程（修复原问题）
bulkSetStatus := func(docVers []*_documentVersion) error {
if len(docVers) == 0 {
return nil
}
// 构建带分号分隔的多 CALL 语句
placeholders := make([]string, len(docVers))
args := make([]interface{}, 0, len(docVers)*2)
for i, dv := range docVers {
placeholders[i] = "CALL documentVersionSetStatus(?, ?)"
args = append(args, dv.Id, dv.Status)
}
query := strings.Join(placeholders, "; ")
_, err := db.Exec(query, args...)
return err
}✅ 启用 multiStatements=true 后，上述代码可成功执行多个 CALL，不再报错 1064。
2. 单次请求获取分页数据 + 总数（高效无额外 round-trip）
func PaginatedQuery(db *sql.DB, offset, limit int) ([]map[string]interface{}, int, error) {
query := `
SELECT id, title, status FROM posts ORDER BY id LIMIT ? OFFSET ?;
SELECT COUNT(*) AS total FROM posts;
`
rows, err := db.Query(query, limit, offset)
if err != nil {
return nil, 0, err
}
defer rows.Close()
// 第一结果集：分页数据
var results []map[string]interface{}
columns, _ := rows.Columns()
for rows.Next() {
values := make([]interface{}, len(columns))
valuePtrs := make([]interface{}, len(columns))
for i := range columns {
valuePtrs[i] = &values[i]
}
if err := rows.Scan(valuePtrs...); err != nil {
return nil, 0, err
}
row := make(map[string]interface{})
for i, col := range columns {
val := values[i]
if b, ok := val.([]byte); ok {
row[col] = string(b)
} else {
row[col] = val
}
}
results = append(results, row)
}
// 切换到第二结果集
if !rows.NextResultSet() {
return nil, 0, fmt.Errorf("expected second result set for count: %w", rows.Err())
}
var totalCount int
if rows.Next() {
if err := rows.Scan(&totalCount); err != nil {
return nil, 0, err
}
}
return results, totalCount, nil
}⚠️ 安全警示：多语句 ≠ 放弃防护
启用 multiStatements=true 不会自动绕过 SQL 注入防护。你仍必须：
立即学习“go语言免费学习笔记（深入）”；
- ✅ 始终使用参数化查询（? 占位符），避免字符串拼接；
- ❌ 禁止将用户输入直接插入 SQL（如 fmt.Sprintf("WHERE name='%s'", input)）；
- ? 理解风险边界：multiStatements=true 仅允许单次请求中执行多条合法语句，但无法防御单语句内注入（如 ' OR '1'='1）——这仍需靠预处理和参数化兜底。
? 补充提示：若需更细粒度控制（如仅对特定操作启用多语句），可为不同业务场景创建独立 *sql.DB 实例，分别配置 DSN。
✅ 总结
| 场景 | 是否需要 multiStatements=true | 替代方案 |
|---|---|---|
| 批量 CALL 存储过程 | ✅ 必须 | 拆分为多次 Exec（性能差） |
| 分页 + 总数合并查询 | ✅ 推荐 | 两次独立查询（网络开销+事务一致性难保障） |
| 单 INSERT/UPDATE/SELECT | ❌ 不需要 | 标准用法即可 |
| 防御 SQL 注入 | ❌ 与之无关 | 坚持参数化 + 输入校验 + 最小权限原则 |
启用多语句是提升数据库交互效率的有力工具，但务必在理解其安全模型的前提下谨慎使用——功能为业务服务，安全为底线护航。
