批量插入时不能直接拼接SQL字符串，因会绕过参数绑定机制，使O'Reilly或Robert'); DROP TABLE students; --等恶意输入破坏语句结构；正确做法是用sqlx.In生成占位符、sqlx.InValues展开参数、sqlx.Rebind适配驱动，并以db.Exec(query, args...)安全执行。
批量插入时为什么不能直接拼接 SQL 字符串
因为 sqlx 本身不阻止字符串拼接，但手动拼接 VALUES (?, ?, ?) 模板再用 fmt.Sprintf 组装，会绕过参数绑定机制，导致 SQL 注入风险。比如把用户输入的 name 直接插进 SQL 字符串里，攻击者传入 O'Reilly 就可能破坏语句结构；更危险的是传入 Robert'); DROP TABLE students; -- 这类 payload。
正确做法是让 sqlx 控制占位符生成和参数绑定。它不内置批量插入辅助函数，但可通过 sqlx.In + sqlx.Rebind 配合原生 INSERT ... VALUES 实现安全批量写入。
-
sqlx.In生成带正确数量?占位符的 SQL 片段，并返回对应参数切片（自动处理 nil、slice 展开等） -
sqlx.Rebind把通用占位符（如?）按驱动类型转成目标数据库语法（如 PostgreSQL 用$1, $2） - 必须用
db.MustExec或db.Exec执行，不能用db.Query—— 后者用于查询，且不校验参数个数匹配
如何用 sqlx.In 安全生成批量 INSERT 语句
假设要插入一批 User 结构体到 MySQL：
type User struct {
Name string `db:"name"`
Email string `db:"email"`
}
users := []User{
{"alice", "a@example.com"},
{"bob", "b@example.com"},
}
names := make([]string, len(users))
emails := make([]string, len(users))
for i, u := range users {
names[i] = u.Name
emails[i] = u.Email
}
<p>// 生成 "INSERT INTO users (name, email) VALUES (?, ?), (?, ?)"
query, args, _ := sqlx.In("INSERT INTO users (name, email) VALUES ?",
sqlx.InValues(names, emails))
query = db.Rebind(query) // 转为 "$1, $2" 等适配 PostgreSQL</p><p>_, err := db.Exec(query, args...)立即学习“go语言免费学习笔记（深入）”；
注意：sqlx.InValues 是关键——它把多个切片横向展开为 (val1_1, val1_2), (val2_1, val2_2) 形式，而不是简单拼接。如果用错成 sqlx.In("...", names, emails)，会得到错误的占位符数量或顺序。
- MySQL 和 SQLite 支持
VALUES (?, ?), (?, ?)语法；PostgreSQL 要求VALUES ($1, $2), ($3, $4)，所以Rebind不可省略 - 参数切片
args必须用...展开传递，否则Exec会把整个切片当单个参数 - 单次批量不宜超过 1000 行（MySQL 默认 max_allowed_packet 限制），超量需分批
遇到 “sql: expected 2 arguments, got 1” 错误怎么办
这是最常见报错，根本原因是 args 类型不是扁平的 []interface{}，而是嵌套结构。例如误把 [][]interface{} 或未调用 sqlx.InValues 导致 args 是 []interface{}{names, emails}，而非 []interface{}{"alice", "a@", "bob", "b@"}。
- 检查是否用了
sqlx.InValues而非裸sqlx.In：后者只做单列展开，不适用于多字段批量 - 打印
len(args)和fmt.Printf("%#v", args)确认结构是否扁平 - 若字段含指针或
nil，sqlx.InValues可正常处理，但确保结构体 tag（如db:"email"）与列名一致，否则映射失败导致空值被忽略 - PostgreSQL 用户额外注意：如果用
pgx驱动而非lib/pq，Rebind可能不生效，建议统一用lib/pq或改用pgxpool配合原生pgx.Batch
为什么不用 sqlx.NamedExec 处理批量
sqlx.NamedExec 仅支持单行命名参数（如 INSERT INTO u (n) VALUES (:name)），无法扩展为多行。尝试传入结构体切片会 panic：“unsupported type []User”。它的设计定位就是单条命名语句，不是批量工具。
真正适合批量的只有两种路径：
- 用
sqlx.In+sqlx.InValues构建动态VALUES列表（推荐，兼容性好） - 对 PostgreSQL，用
UNNEST配合数组参数：INSERT INTO u SELECT * FROM UNNEST(:names, :emails)，再用sqlx.NamedExec传两个切片——但这要求数据库支持，且逻辑耦合度高
别为了“看起来更简洁”硬套命名方式，批量场景下参数绑定的底层约束不会消失，绕不开占位符数量与实际数据的一一对应。
