不能直接拼接字符串构造SQL，因会导致SQL注入漏洞、空条件引发语法错误（如WHERE AND name = ?）、字段名/表名无法安全转义；database/sql仅处理参数占位符，不负责动态结构判断。
为什么不能直接拼接字符串构造 SQL
直接用 fmt.Sprintf 或 strings.Join 拼 SQL 字符串，看似简单，但会立刻撞上三个硬伤：SQL 注入漏洞、空条件导致语法错误（比如 WHERE AND name = ?）、以及字段名/表名无法安全转义。Go 的 database/sql 本身不处理动态结构，它只管参数占位符 ?，不负责 WHERE 子句的“有无判断”。
用结构体 + 方法链构建可组合的 QueryBuilder
核心思路是把每个查询条件封装成独立方法，返回自身指针实现链式调用，内部用 slice 累积 WHERE 片段和参数值。关键点在于：所有字段名、表名必须经 sqlx.NameMapper 或手动白名单校验；参数值一律走 args 切片，绝不插进 SQL 字符串。
示例片段：
type UserQuery struct {
clauses []string
args []interface{}
}
<p>func (q <em>UserQuery) NameLike(name string) </em>UserQuery {
if name != "" {
q.clauses = append(q.clauses, "name LIKE ?")
q.args = append(q.args, "%"+name+"%")
}
return q
}</p><p>func (q <em>UserQuery) AgeBetween(min, max int) </em>UserQuery {
if min > 0 || max > 0 {
var clause string
switch {
case min > 0 && max > 0:
clause = "age BETWEEN ? AND ?"
q.args = append(q.args, min, max)
case min > 0:
clause = "age >= ?"
q.args = append(q.args, min)
case max > 0:
clause = "age <= ?"
q.args = append(q.args, max)
}
q.clauses = append(q.clauses, clause)
}
return q
}WHERE 条件为空时如何避免语法错误
这是最常踩的坑：当所有条件都未设置，WHERE 后跟空字符串，直接 panic。必须在生成最终 SQL 前做兜底判断。
立即学习“go语言免费学习笔记（深入）”；
- 不要在每个方法里加
"WHERE "前缀 —— 这会让空条件难以清理 - 统一在
Build()方法中组装：if len(q.clauses) == 0 { return "SELECT * FROM users", q.args } - 若需强制带 WHERE（比如配合后续 ORDER BY），改用
WHERE 1=1开头，再追加条件 —— 但注意这会影响某些数据库的索引选择，仅限调试或简单场景
嵌套 AND/OR 和括号优先级怎么处理
纯链式调用天然适合线性 AND，但遇到 (status = ? OR type = ?) AND deleted = ? 就得破链。推荐两种务实方案：
- 提供
Group(func(*UserQuery))方法，在闭包内调用其他条件方法，内部自动加括号包裹 —— 但需额外维护括号层级计数，容易出错 - 更稳妥的做法：暴露底层
AddClause(clause string, args ...interface{})，让业务层自己控制复杂逻辑，比如q.AddClause("(status = ? OR type = ?)", "active", "admin")，同时要求调用方保证 clause 中字段名已校验 - OR 条件尽量拆成多个独立查询再
UNION，尤其当分支差异大时，比单条 SQL 更易读、更可控
复杂度真正卡点不在语法拼接，而在字段合法性校验和参数类型一致性 —— 比如 time.Time 直接塞进 args 会触发 driver 不支持的 panic，得提前转成 string 或 int64。这点容易被忽略，一跑就崩。
