Go语言数据库操作怎样防止SQL注入

在Go语言中，为了防止SQL注入攻击，你可以使用预编译语句（prepared statements）和参数化查询。Go的database/sql包提供了对预编译语句的支持。这里是一个简单的示例，展示了如何使用预编译语句防止SQL注入：

package main

import (
	"database/sql"
	"fmt"
	"log"

	_ "github.com/go-sql-driver/mysql"
)

func main() {
	// 连接数据库
	db, err := sql.Open("mysql", "username:password@tcp(localhost:3306)/dbname")
	if err != nil {
		log.Fatal(err)
	}
	defer db.Close()

	// 准备SQL语句
	stmt, err := db.Prepare("INSERT INTO users(username, password) VALUES (?, ?)")
	if err != nil {
		log.Fatal(err)
	}
	defer stmt.Close()

	// 执行SQL语句
	_, err = stmt.Exec("JohnDoe", "password123")
	if err != nil {
		log.Fatal(err)
	}

	fmt.Println("User inserted successfully")
}

在这个示例中，我们使用了db.Prepare()函数来准备一个带有参数的SQL语句。注意问号（?）作为占位符，它们将在执行时被实际的参数值替换。这种方法可以确保用户输入的数据不会被解释为SQL代码，从而防止SQL注入攻击。

当你需要执行多个相似的SQL语句时，预编译语句是一个很好的选择，因为它们只需要在数据库中编译一次，然后可以多次执行。这样可以提高性能并减少SQL注入的风险。