Go 想要这个 SQL 查询中的第二个参数是什么。
我正在尝试在 postgres 中使用 IN 查找。
stmt, err := db.Prepare("SELECT * FROM awesome_table WHERE id= $1 AND other_field IN $2")
rows, err := stmt.Query(10, ???)
我真正想要的：
SELECT * FROM awesome_table WHERE id=10 AND other_field IN (this, that);
【问题讨论】：
您可能正在使用pq driver。 pq 最近通过 pq.Array 添加了特定于 Postgres 的数组支持（请参阅 pull request 466）。你可以通过以下方式得到你想要的：
stmt, err := db.Prepare("SELECT * FROM awesome_table WHERE id= $1 AND other_field = ANY($2)")
rows, err := stmt.Query(10, pq.Array([]string{'this','that'})
我认为这会生成 SQL：
SELECT * FROM awesome_table WHERE id=10 AND other_field = ANY('{"this", "that"}');
请注意，这使用了准备好的语句，因此应该对输入进行清理。
【讨论】：
查询只需要 varargs 来替换 sql 中的参数 所以，在你的例子中，你会这样做
rows, err := stmt.Query(10)
说，这个和你的第二个例子是动态的，那么你会这样做
stmt, err := db.Prepare("SELECT * FROM awesome_table WHERE id=$1 AND other_field IN ($2, $3)")
rows, err := stmt.Query(10,"this","that")
如果你有“IN”部分的可变参数，你可以这样做 (play)
package main
import "fmt"
import "strings"
func main() {
stuff := []interface{}{"this", "that", "otherthing"}
sql := "select * from foo where id=? and name in (?" + strings.Repeat(",?", len(stuff)-1) + ")"
fmt.Println("SQL:", sql)
args := []interface{}{10}
args = append(args, stuff...)
fakeExec(args...)
// This also works, but I think it's harder for folks to read
//fakeExec(append([]interface{}{10},stuff...)...)
}
func fakeExec(args ...interface{}) {
fmt.Println("Got:", args)
}
【讨论】：
stmt, err := db.Prepare("SELECT * FROM awesome_table WHERE id= $1 AND other_field IN $2")args:= []int{1,3,4,5}rows, err := stmt.Query(10, args)
strings.Join(strings.Split(strings.Repeat("?", len(stuff)), ""), ",") 替换一系列问号的构造。我觉得这不是一种心理锻炼。当然，您需要针对空 stuff 的保护声明。
如果像我这样的人尝试使用数组进行查询，这里有一个简单的解决方案。
获取https://github.com/jmoiron/sqlx
ids := []int{1, 2, 3}
q,args,err := sqlx.In("SELECT id,username FROM users WHERE id IN(?);", ids) //creates the query string and arguments
//you should check for errors of course
q = sqlx.Rebind(sqlx.DOLLAR,q) //only if postgres
rows, err := db.Query(q,args...) //use normal POSTGRES/ANY SQL driver important to include the '...' after the Slice(array)
【讨论】：
name := "foobar"q,args,err := sqlx.In("SELECT id,username FROM users WHERE id IN(?) AND name = (?);", ids, name)
important to include the '...' after the Slice(array)救了我的命。
至少对于 PostgreSQL，您可以选择使用单个占位符将整个数组作为字符串传递：
db.Query("select 1 = any($1::integer[])", "{1,2,3}")
这样，您可以使用单个查询字符串，并且所有字符串连接都仅限于参数。如果参数格式不正确，则不会获得 SQL 注入；你只会得到类似的东西：错误：整数的输入语法无效：“xyz”
https://groups.google.com/d/msg/golang-nuts/vHbg09g7s2I/RKU7XsO25SIJ
【讨论】：
如果你使用sqlx，你可以这样： https://github.com/jmoiron/sqlx/issues/346
arr := []string{"this", "that"}
query, args, err := sqlx.In("SELECT * FROM awesome_table WHERE id=10 AND other_field IN (?)", arr)
query = db.Rebind(query) // sqlx.In returns queries with the `?` bindvar, rebind it here for matching the database in used (e.g. postgre, oracle etc, can skip it if you use mysql)
rows, err := db.Query(query, args...)
【讨论】：
var awesome AwesomeStruct
var awesomes []*AwesomeStruct
ids := []int{1,2,3,4}
q, args, err := sqlx.In(`
SELECT * FROM awesome_table WHERE id=(?) AND other_field IN (?)`, 10, ids)
// use .Select for multiple return
err = db.Select(&awesomes, db.SQL.Rebind(q), args...)
// use .Get for single return
err = db.Get(&awesome, db.SQL.Rebind(q), args...)
【讨论】：
//I tried a different way. A simpler and easier way, maybe not too efficient.
stringedIDs := fmt.Sprintf("%v", ids)
stringedIDs = stringedIDs[1 : len(stringedIDs)-1]
stringedIDs = strings.ReplaceAll(stringedIDs, " ", ",")
query := "SELECT * FROM users WHERE id IN (" + stringedIDs + ")"
//Then follow your standard database/sql Query
rows, err := db.Query(query)
//error checking
if err != nil {
// Handle errors
} else {
// Process rows
}
【讨论】：
相当行人且仅在服务器生成时使用。其中 UserIDs 是字符串的切片（列表）：
sqlc := `select count(*) from test.Logins where UserID
in ("` + strings.Join(UserIDs,`","`) + `")`
errc := db.QueryRow(sqlc).Scan(&Logins)
【讨论】：
您也可以使用这种直接转换。
awesome_id_list := []int{3,5,8}
var str string
for _, value := range awesome_id_list {
str += strconv.Itoa(value) + ","
}
query := "SELECT * FROM awesome_table WHERE id IN (" + str[:len(str)-1] + ")"
警告
这种方法容易受到 SQL 注入的攻击。仅当awesome_id_list 是服务器生成时才使用此方法。
【讨论】：