在 Golang 中防止 SQL 注入的方法主要依赖于两种方式：使用原始 SQL 和使用 ORM。以下是这两种方法的详细分析和防护措施。

---

一、使用原始 SQL 防止 SQL 注入

使用原始 SQL 查询时，SQL 注入的风险较大，因为恶意用户可以通过不受控制的输入将恶意代码注入到 SQL 语句中。为了有效防止 SQL 注入，在使用原始 SQL 时需要采取以下措施：

1. 使用参数化查询（Prepared Statements）

参数化查询是一种通过绑定参数来执行 SQL 查询的技术，这种方法能有效地防止 SQL 注入。使用参数化查询时，用户输入的内容不会直接嵌入 SQL 语句中，而是作为参数传递给数据库，数据库会自动处理这些输入，从而避免了恶意 SQL 的执行。

Golang 中的 database/sql 包支持参数化查询，常见用法如下：

import (
    "database/sql"
    "log"
    _ "github.com/go-sql-driver/mysql"
)

func getUserByID(db *sql.DB, userID int) (*User, error) {
    query := "SELECT id, name FROM users WHERE id = ?"
    row := db.QueryRow(query, userID) // 使用 ? 占位符
    var user User
    if err := row.Scan(&user.ID, &user.Name); err != nil {
        return nil, err
    }
    return &user, nil
}

在此代码中，QueryRow 函数会自动处理参数 userID，从而防止 SQL 注入。

2. 使用事务（Transaction）避免数据篡改

在涉及多个查询操作时，建议使用事务来确保数据的原子性和一致性。通过事务，可以确保一组 SQL 查询要么全部成功，要么全部失败，从而避免恶意用户通过中断或篡改单个 SQL 查询来破坏操作的完整性。

tx, err := db.Begin()
if err != nil {
    log.Fatal(err)
}

_, err = tx.Exec("UPDATE users SET name = ? WHERE id = ?", newName, userID)
if err != nil {
    tx.Rollback() // 发生错误时回滚事务
    log.Fatal(err)
}

tx.Commit() // 提交事务

二、使用 ORM 防止 SQL 注入

ORM（对象关系映射）通过封装 SQL 操作，使开发者可以通过更高级别的接口与数据库交互。使用 ORM 可以有效地防止 SQL 注入，因为 ORM 自动处理了查询的参数化过程。

Golang 中常用的 ORM 框架有 GORM 和 beego ORM，它们都内建防止 SQL 注入的机制。

1. GORM 的防注入机制

GORM 是 Golang 最流行的 ORM 库之一，它通过使用链式调用（method chaining）和结构体来构建 SQL 查询，避免了直接拼接 SQL 字符串，默认情况下就能防止 SQL 注入。

import (
    "gorm.io/gorm"
    "gorm.io/driver/mysql"
    "log"
)

type User struct {
    ID   int
    Name string
}

func getUserByID(db *gorm.DB, userID int) (*User, error) {
    var user User
    if err := db.Where("id = ?", userID).First(&user).Error; err != nil {
        return nil, err
    }
    return &user, nil
}

在这个例子中，Where("id = ?", userID) 使用了参数化查询，userID 被安全地作为查询参数传递，防止了 SQL 注入。

2. 使用模型（Struct）进行查询

ORM 还支持通过模型直接操作数据库，这意味着无需编写 SQL 语句，ORM 会根据结构体自动构建查询，从而避免 SQL 注入的风险。

var user User
if err := db.First(&user, userID).Error; err != nil {
    log.Fatal(err)
}

---

三、总结

• 原始 SQL：使用参数化查询（Prepared Statements）和事务来防止 SQL 注入。
• ORM：通过使用像 GORM 等 ORM 框架，开发者无需直接编写 SQL 语句，ORM 会自动防止 SQL 注入。

两种方式都有其优点和适用场景：

• 原始 SQL：适用于复杂查询或对性能有严格要求的场景，但需要开发者小心编写 SQL。
• ORM：适合开发者快速开发，减少 SQL 错误和注入风险，但可能在性能上略逊色于手写的原始 SQL。