1 简介

通过严格限制和验证输入数据的格式，防止恶意字符进入SQL查询。通常结合正则表达式或白名单策略实现。

使用框架的实现方式，可以使用正则表达式或 strconv 等工具对输入进行验证。

示例：输入验证

r.GET("/user", func(c *gin.Context) {
    id := c.Query("id")

    // 验证id为数字
    if _, err := strconv.Atoi(id); err != nil {
        c.JSON(http.StatusBadRequest, gin.H{"error": "Invalid ID"})
        return
    }

    var username string
    err := db.QueryRow("SELECT username FROM users WHERE id = ?", id).Scan(&username)
    if err != nil {
        c.JSON(http.StatusInternalServerError, gin.H{"error": "User not found"})
        return
    }

    c.JSON(http.StatusOK, gin.H{"username": username})
})

在 Gin 服务中，可以通过参数校验工具和严格规范的 SQL 构造方式，确保传递变量时安全高效。
以下是一些具体实现方式和相关工具的介绍。

2 标签的参数校验的实现方式

• 1. 使用 gin 的 binding 标签进行参数校验

web框架如gin提供了内置的参数绑定和校验功能，可以通过 binding 标签对结构体字段进行验证。

示例：校验请求参数

  type UserQuery struct {
      ID   int    `form:"id" binding:"required,numeric"` // 必须且是数字
      Name string `form:"name" binding:"omitempty,alphanum"` // 可选且是字母数字
  }

  func main() {
      r := gin.Default()

      r.GET("/user", func(c *gin.Context) {
          var query UserQuery

          // 参数绑定和校验
          if err := c.ShouldBindQuery(&query); err != nil {
              c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
              return
          }

          // 模拟数据库查询
          c.JSON(http.StatusOK, gin.H{
              "id":   query.ID,
              "name": query.Name,
          })
      })

      r.Run()
  }

校验规则通过 binding 标签指定，常用校验规则包括：

  required: 必填字段。
  numeric: 必须是数字。
  alphanum: 必须是字母数字组合。
  email: 必须是有效邮箱格式。
  min/max: 设置数值或字符串长度限制。

3 使用 SQL 参数化查询

在编写 SQL 语句时，禁止直接拼接用户输入的值。通过参数化查询避免注入风险。

示例：database/sql 中的参数化

r.GET("/user", func(c *gin.Context) {
    var query UserQuery
    if err := c.ShouldBindQuery(&query); err != nil {
        c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
        return
    }

    // 参数化查询
    var username string
    err := db.QueryRow("SELECT username FROM users WHERE id = ?", query.ID).Scan(&username)
    if err != nil {
        c.JSON(http.StatusInternalServerError, gin.H{"error": "User not found"})
        return
    }

    c.JSON(http.StatusOK, gin.H{"username": username})
})

4 使用校验协助工具 Validator.v10

工具和库可以帮助更简便快捷地实现参数校验和安全传递变量。

内置的 github.com/go-playground/validator/v10，用于字段验证。可以自定义校验规则，满足复杂需求。

示例：自定义校验规则

    import (
        "github.com/go-playground/validator/v10"
        "github.com/gin-gonic/gin"
    )

    type User struct {
        Email string `json:"email" binding:"required,email"`
        Age   int    `json:"age" binding:"gte=0,lte=120"` // 年龄范围 0-120
    }

    var validate *validator.Validate

    func main() {
        validate = validator.New()

        r := gin.Default()
        r.POST("/validate", func(c *gin.Context) {
            var user User
            if err := c.ShouldBindJSON(&user); err != nil {
                c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
                return
            }

            c.JSON(http.StatusOK, gin.H{"message": "Validation passed!"})
        })
        r.Run()
    }

5 使用数据库协助工具 GORM ORM

GORM 是一个功能强大的 ORM 工具，支持自动参数化查询和数据验证。可以通过模型定义字段的约束。

示例：使用 GORM 校验并查询

    type User struct {
        ID    uint   `gorm:"primaryKey"`
        Email string `gorm:"type:varchar(100);uniqueIndex" binding:"required,email"`
        Name  string `gorm:"type:varchar(100)"`
    }

    var db *gorm.DB

    func main() {
        var err error
        dsn := "user:password@tcp(127.0.0.1:3306)/dbname?charset=utf8mb4&parseTime=True&loc=Local"
        db, err = gorm.Open(mysql.Open(dsn), &gorm.Config{})
        if err != nil {
            panic("failed to connect database")
        }

        db.AutoMigrate(&User{}) // 自动迁移模型

        r := gin.Default()
        r.GET("/user", func(c *gin.Context) {
            var user User
            if err := db.First(&user, "id = ?", c.Query("id")).Error; err != nil {
                c.JSON(http.StatusNotFound, gin.H{"error": "User not found"})
                return
            }

            c.JSON(http.StatusOK, user)
        })

        r.Run()
    }

6 使用Json校验工具 JSON Schema Validator

gojsonschema 是一个 JSON Schema 校验工具，适合对复杂结构的请求体进行校验。

示例：JSON Schema 校验

  import (
      "github.com/gin-gonic/gin"
      "github.com/xeipuuv/gojsonschema"
  )

  func main() {
      schemaLoader := gojsonschema.NewStringLoader(`{
          "type": "object",
          "properties": {
              "id": {"type": "integer"},
              "name": {"type": "string"}
          },
          "required": ["id"]
      }`)

      r := gin.Default()
      r.POST("/validate", func(c *gin.Context) {
          var payload map[string]interface{}
          if err := c.ShouldBindJSON(&payload); err != nil {
              c.JSON(http.StatusBadRequest, gin.H{"error": "Invalid JSON"})
              return
          }

          documentLoader := gojsonschema.NewGoLoader(payload)
          result, err := gojsonschema.Validate(schemaLoader, documentLoader)
          if err != nil {
              c.JSON(http.StatusInternalServerError, gin.H{"error": "Validation error"})
              return
          }

          if !result.Valid() {
              c.JSON(http.StatusBadRequest, gin.H{"error": result.Errors()})
              return
          }

          c.JSON(http.StatusOK, gin.H{"message": "Validation passed!"})
      })
      r.Run()
  }

7 总结

参数校验：

使用 Gin 内置的 binding 标签。
结合 Validator.v10 或 gojsonschema 进行复杂校验。
禁止直接传值到 SQL：

必须使用 ? 占位符或 ORM 的参数绑定。

相关工具推荐：

简单校验：Gin + Validator.v10。
ORM 集成：GORM。
高级校验：Go JSON Schema Validator。

根据实际场景选择适合的工具和方案，确保服务的安全性和开发效率。