字段权限控制非GORM原生能力，需业务层通过Select白名单控制查询、map构造更新、Scanner/Valuer脱敏敏感字段，并结合中间件与配置中心实现策略统一管理。
字段权限控制不是GORM原生能力
GORM本身不提供字段级读写权限控制机制，SELECT 或 UPDATE 时不会自动过滤字段。所谓“字段权限”，实际是业务层对结构体字段的动态裁剪或数据库查询/更新语句的按需构造——GORM只负责执行你给它的操作，它不管谁该看哪个字段。
常见错误是试图用 gorm:select 标签硬编码权限逻辑，结果导致模型定义和权限策略耦合，一改权限就得改 struct；或者误以为 Scan() 能自动忽略无权字段，其实只要数据库返回了，GORM 就会尽力赋值（哪怕字段是私有的、没 tag）。
用 Select() + 字段白名单控制 SELECT 查询
最直接可控的方式：在调用 Find() / First() 前，显式传入当前用户有权访问的字段名列表，由业务代码决定白名单。
- 字段名必须是数据库列名（非 struct 字段名），除非你用了
column:tag 显式映射 - 不能混用
Select("id, name")和Select("*")—— 后者会覆盖前者，且可能暴露敏感字段 - 若字段在 struct 中未定义（比如只查
email但 struct 没Email字段），GORM 不会报错，但 Scan 会失败或静默丢弃
// userRoles := getUserRoles(ctx)
// allowedFields := map[string]bool{"id": true, "name": true, "created_at": true}
db.Select(allowedFieldsSlice).Where("id = ?", id).First(&user)
UPDATE 时用 map 或 select + omit 避免越权写入
Save() 和 Updates() 默认更新所有非零值字段，极易引发越权修改（比如用户提交 JSON 包含 is_admin，后端没校验就直接 db.Save(&u)）。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
- 永远不要对用户输入直接调用
Save()—— 它会把 struct 所有字段塞进 SQL - 用
map[string]interface{}构造更新内容，只包含明确允许修改的键 - 若必须用 struct，先用
reflect或工具库（如mapstructure）做字段过滤，再转成 map 更新 -
Omit()只影响 GORM 的字段选择，不校验输入来源；它不能替代白名单，只是辅助手段
// ✅ 安全：只更新允许字段
updates := map[string]interface{}{"name": req.Name, "bio": req.Bio}
db.Where("id = ?", id).Updates(updates)
// ❌ 危险：struct 里任何非零字段都会被更新
db.Where("id = ?", id).Save(&req) // req 是用户提交的 struct
用自定义 Scanner/Valuer 实现读写时字段脱敏
对敏感字段（如 password_hash、ssn），可在 model 层加一层控制：读取时返回空或占位符，写入时忽略或加密。
- 实现
Scanner接口可拦截 DB 查询后的赋值逻辑（例如把password_hash设为""） - 实现
Valuer接口可控制写入前的值转换（例如对ssn字段自动 AES 加密） - 注意：这两个接口只作用于该字段的 DB 读写，不影响 struct 内存中的原始值；也不影响其他字段
- 别在
Scanner里做权限判断（比如 “如果是普通用户就清空”）—— 权限应前置，而非藏在数据层
type User struct {
ID uint `gorm:"primaryKey"`
Name string `gorm:"not null"`
PasswordHash string `gorm:"column:password_hash"`
}
func (u *User) Scan(value interface{}) error {
// 密码哈希永远不暴露给上层
u.PasswordHash = "[redacted]"
return nil
}
字段权限真正的复杂点不在 GORM 怎么写，而在于权限策略如何与请求上下文绑定、如何避免漏判（比如关联查询中嵌套的字段）、以及如何审计越权行为。这些没法靠一个 ORM 标签解决，得靠中间件统一拦截、字段白名单配置中心化、还有测试时专门构造越权 case 去打。
