GORM中多字段排序必须用白名单校验后显式拼接字符串，如db.Order("created_at DESC, status ASC")，禁用逗号分隔的复合Order或多次Order调用覆盖，且Order须在Limit/Offset前执行。
gorm.Order() 里怎么写多个字段排序表达式
直接在 Order() 中拼接字符串是最常用也最可控的方式，GORM 不会自动帮你合并多个 Order() 调用（后调用的会覆盖前一个），所以必须一次性写全。
语法就是标准 SQL 的 ORDER BY field1 ASC, field2 DESC, field3 形式，注意逗号分隔、空格分隔方向关键词：
-
db.Order("created_at DESC, status ASC, id").Find(&users)—— 显式写ASC或DESC，未写默认ASC - 字段名不要加引号（除非含特殊字符或关键字），GORM 不会自动转义，写错会直接报 SQL 错误
- 如果字段来自关联表，得用
JOIN+ 表别名，比如Order("posts.updated_at DESC, users.name ASC")，前提是已Joins("join users on ...")
用 map 或 struct 动态生成排序参数时要注意什么
GORM 本身不支持把 map[string]bool 或结构体直接喂给 Order()，所谓“动态”得靠字符串拼接或第三方辅助。硬要抽象，常见做法是预定义合法字段白名单和方向映射：
- 避免用户传入恶意字段：先校验
sortField是否在[]string{"name", "email", "created_at"}里 - 方向只接受
"asc"/"desc"，其他一律 fallback 到"asc" - 拼接时用
strings.Join(orders, ", ")，每个元素形如"created_at DESC"，别漏空格 - 示例：
db.Order(strings.Join([]string{"status DESC", "updated_at ASC"}, ", ")).Find(&results)
Order() 和 Scopes 配合使用时顺序很关键
如果你把排序逻辑封装进 Scope，它和其他 Where、Limit 等链式调用的执行顺序无关，但 Order() 调用位置决定了最终 SQL 中 ORDER BY 的内容 —— 最后一次 Order() 调用生效。
- 错误写法：
db.Scoped(sortByStatus()).Where(...).Order("id DESC")→ 后面的Order()会完全覆盖sortByStatus()里的Order() - 正确思路：让 scope 返回带完整排序的
*gorm.DB，外部不再调用Order()；或者 scope 只负责拼字段，主调用统一收口 - 更稳妥的是把排序做成独立函数，比如
ApplySort(db, "created_at:desc,name:asc")，内部做解析+校验+拼接
PostgreSQL 和 MySQL 在 NULL 排序上表现不同
如果组合排序字段可能为 NULL，MySQL 默认 NULL 排最前（ASC 时），PostgreSQL 默认排最后，这会导致跨数据库行为不一致，线上出过真实翻车案例。
- 显式控制：
db.Order("status DESC NULLS LAST, created_at ASC NULLS FIRST")—— 仅 PostgreSQL 支持NULLS FIRST/LAST - MySQL 没有等价语法，只能用
COALESCE(status, 'zzz')这类兜底，但要注意类型转换开销 - 如果业务允许，最好在查询前确保关键排序字段非空，或建函数索引加速
COALESCE()表达式
