PostgreSQL协议原生不支持?占位符，lib/pq直接转发导致syntax error；必须用$1、$2等序号形式，且编号连续、从1开始，仅用于值绑定，不可用于表名/字段名等标识符。
必须用 $1、$2 这类位置占位符，不能用 ?，否则直接报语法错误。
为什么 ? 在 lib/pq 里会失败
PostgreSQL 协议原生不支持问号占位符，lib/pq 也不做转换——它把带 ? 的 SQL 原样发给服务器，PG 解析器不认识，直接抛出 syntax error at or near "?"。这不是驱动 bug，是协议层限制。
- MySQL 驱动接受
?是因为其协议设计如此；PG 不是 - 哪怕你写
SELECT * FROM users WHERE id = ?并传参，lib/pq也不会重写成$1 - 错误常出现在从其他数据库迁移代码时，容易忽略这个硬性差异
PQexecParams 和 Go 的 database/sql 都要守同一套规则
无论底层用 C 的 libpq 还是 Go 的 database/sql + lib/pq，占位符必须是 $n 形式，且编号从 1 开始连续，不能跳号或重复。
- Go 示例：
db.Query("SELECT name FROM users WHERE id = $1 AND status = $2", userID, "active") - C 示例：
PQexecParams(conn, "UPDATE logs SET msg = $1 WHERE id = $2", 2, NULL, (const char* const[]){"hello", "100"}, NULL, NULL, 0) - 参数个数、类型、顺序必须和
$1–$n严格对应，错一个就报bind message supplies 2 parameters, but prepared statement "" requires 3
拼接表名/字段名？别碰字符串拼接，哪怕用了 $1
$1 只能代入值（如 WHERE name = $1），不能代入标识符（如 SELECT * FROM $1）。后者在语法上非法，会触发 ERROR: syntax error at or near "$1"。
- 动态表名必须走白名单校验 +
quote_ident()（在 SQL 层），或在应用层硬编码映射 - 例如：用户传
"orders_2024"，先检查是否匹配正则^[a-z][a-z0-9_]{1,63}$，再拼进 SQL：SELECT * FROM " + quoteIdent(userInput) - 千万别写
fmt.Sprintf("SELECT * FROM %s", tableName)—— 这和 f-string 拼接一样危险
空值、数组、JSON 参数要小心类型推导
PostgreSQL 对 $1 的类型推导依赖上下文。如果字段是 JSONB 但你传了字符串，可能隐式转失败或存成文本；传 nil 时，Go 需用 sql.NullString 等类型显式表达空值。
- 明确指定类型更稳：用
pgtype.JSONB替代原始[]byte，用pgtype.Int4{Int32: 123, Status: pgtype.Present}控制空值 - 数组参数要加类型修饰，比如
WHERE id = ANY($1::int[])，否则 PG 可能报operator does not exist: integer = text[] - 时间戳建议统一用
time.Time传，避免字符串解析歧义（如'2025-01-01'被当成date还是timestamp）
最易被忽略的是：**占位符只保值安全，不保结构安全**。哪怕 $1 完全防注入，一旦表名、ORDER BY 字段、LIMIT 数值来自用户输入且未经白名单控制，整个查询仍可被操控。别让参数化掩盖了标识符校验的缺失。
