Postgres中的Go和IN子句

Question

我试图使用pq驱动程序在Go中对PostgreSQL数据库执行以下查询:

SELECT COUNT(id)
FROM tags
WHERE id IN (1, 2, 3)

在1, 2, 3切片处传递的位置tags := []string{"1", "2", "3"}.

我尝试了很多不同的东西,比如:

s := "(" + strings.Join(tags, ",") + ")"
if err := Db.QueryRow(`
    SELECT COUNT(id)
    FROM tags
    WHERE id IN $1`, s,
).Scan(&num); err != nil {
    log.Println(err)
}

结果pq: syntax error at or near "$1".我也试过了

if err := Db.QueryRow(`
    SELECT COUNT(id)
    FROM tags
    WHERE id IN ($1)`, strings.Join(stringTagIds, ","),
).Scan(&num); err != nil {
    log.Println(err)
}

这也失败了 pq: invalid input syntax for integer: "1,2,3"

我也尝试直接传递一片整数/字符串sql: converting Exec argument #0's type: unsupported type []string, a slice.

那么如何在Go中执行此查询？

Answer 1

预构建SQL查询(防止SQL注入)

如果您为每个值生成带有param占位符的SQL字符串,则可以更轻松地立即生成最终SQL.

请注意,由于值是strings,因此存在SQL注入攻击的位置,因此我们首先测试所有string值是否确实是数字,并且我们只在这样做:

tags := []string{"1", "2", "3"}
buf := bytes.NewBufferString("SELECT COUNT(id) FROM tags WHERE id IN(")
for i, v := range tags {
    if i > 0 {
        buf.WriteString(",")
    }
    if _, err := strconv.Atoi(v); err != nil {
        panic("Not number!")
    }
    buf.WriteString(v)
}
buf.WriteString(")")

执行它:

num := 0
if err := Db.QueryRow(buf.String()).Scan(&num); err != nil {
    log.Println(err)
}

运用 ANY

您也可以使用PostgresqlANY,其语法如下:

expression operator ANY (array expression)

使用它,我们的查询可能如下所示:

SELECT COUNT(id) FROM tags WHERE id = ANY('{1,2,3}'::int[])

在这种情况下,您可以将数组的文本形式声明为参数:

SELECT COUNT(id) FROM tags WHERE id = ANY($1::int[])

这可以简单地像这样构建:

tags := []string{"1", "2", "3"}
param := "{" + strings.Join(tags, ",") + "}"

请注意,在这种情况下不需要检查,因为数组表达式不允许SQL注入(但会导致查询执行错误).

那么完整的代码:

tags := []string{"1", "2", "3"}

q := "SELECT COUNT(id) FROM tags WHERE id = ANY($1::int[])"
param := "{" + strings.Join(tags, ",") + "}"

num := 0
if err := Db.QueryRow(q, param).Scan(&num); err != nil {
    log.Println(err)
}

Answer 2

这不是真正的Golang问题，您正在使用字符串将其与SQL请求中的整数（id）进行比较。这意味着，SQL接收：

SELECT COUNT(id)
FROM tags
WHERE id IN ("1, 2, 3")

而不是您想给它的东西。您只需要将标签转换为整数并将其传递给查询即可。

编辑：由于您试图将多个值传递给查询，那么您应该告诉它：

params := make([]string, 0, len(tags))
for i := range tags {
    params = append(params, fmt.Sprintf("$%d", i+1))
}
query := fmt.Sprintf("SELECT COUNT(id) FROM tags WHERE id IN (%s)", strings.Join(params, ", "))

这将以“（（$ 1，$ 2，$ 3 ......）”结束查询，然后将标签转换为int：

values := make([]int, 0, len(tags))
for _, s := range tags {
    val, err := strconv.Atoi(s)
    if err != nil {
        // Do whatever is required with the error
        fmt.Println("Err : ", err)
    } else {
        values = append(values, val)
    }
}

最后，您可以在查询中使用它：

Db.QueryRow(query, values...)

这应该做。

Answer 3

扩展@icza解决方案，您可以使用pq.Array而不是自己构建参数。

因此，使用他的示例，代码可以如下所示：

tags := []string{"1", "2", "3"}

q := "SELECT COUNT(id) FROM tags WHERE id = ANY($1::int[])"

num := 0
if err := Db.QueryRow(q, pq.Array(tags)).Scan(&num); err != nil {
    log.Println(err)
}