不能直接用 reflect.Value.Interface() 拼 SQL，否则放弃参数化查询、引发 SQL 注入；需用 struct tag 控制字段参与性，一次遍历收集字段名与值，确保顺序一致，并按 dialect 生成对应占位符。
为什么不能直接用 reflect.Value.Interface() 拼 SQL
直接把反射拿到的值转成字符串拼进 SQL，等于主动放弃参数化查询——sql.ErrNoRows 可能不会报，但 SQL injection 风险立刻拉满。Go 的 database/sql 原生只接受占位符（? 或 $1）+ 参数切片，反射层必须严格对齐这个契约，不能“自己造 SQL 字符串”。
如何用反射安全提取结构体字段和对应参数值
核心是两件事：遍历字段、区分是否参与 SQL 构建。推荐用 struct tag 控制，比如 db:"name,notnull"，而不是靠字段名或类型硬编码。
- 用
reflect.TypeOf(t).NumField()遍历字段，跳过未导出字段（field.PkgPath != ""） - 检查
field.Tag.Get("db")，为空或含-"就跳过该字段 - 用
reflect.ValueOf(t).Field(i)取值，再调用.Kind()判断是否为指针/空接口/时间等特殊类型，避免panic: reflect: call of reflect.Value.Interface on zero Value - 对
*string、*int64等指针类型，要先.Elem()再.Interface()，否则传的是地址而非值
INSERT 语句生成时字段顺序和参数顺序必须严格一致
这是最容易出错的地方：反射遍历字段顺序 = SQL 字段顺序 = 参数切片顺序。一旦中间有字段被 tag 跳过，但参数没同步跳过，就会导致 sql: expected 3 arguments, got 4 或值错位。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- 不要在循环里临时 push 字段名和参数值到两个独立切片再拼接——容易不同步
- 统一用一个
[]struct{ name string; value interface{} }收集非忽略字段，一次遍历完成 - PostgreSQL 用
$1, $2占位符，MySQL 用?，生成 SQL 时别混用；可加个dialect参数控制 - 注意
time.Time默认被转成字符串，但数据库驱动通常能识别，无需手动.Format()，否则可能破坏时区或精度
UPDATE 语句需要区分 set 字段和 where 字段
一个结构体既要填 SET 又要填 WHERE，靠单个 tag 不够用。建议拆成两类 tag：db:"name,set" 和 db:"name,where"，或者用嵌套结构（如 type UpdateUser struct { Set User `db:"set"`; Where User `db:"where"` }）。
立即学习“go语言免费学习笔记（深入）”；
- WHERE 条件字段必须非空（nil 指针、零值字符串、0 数字都应跳过），否则生成
WHERE id = 0这种危险条件 - SET 字段允许为 nil（表示不更新），但需在生成 SQL 时主动过滤掉 nil 值字段，不然参数列表长度对不上
- 别把主键字段默认塞进 WHERE——有些场景（如软删除）需要按状态更新，主键反而不该进 WHERE
真正难的不是反射本身，而是让反射结果和 SQL 执行时的语义完全对齐：字段是否参与、值是否有效、顺序是否一致、空值怎么处理——这些细节漏掉任意一个，运行时才暴露，而且错误信息往往不指向反射层。
