Golang Sprintf Formatierung einer Zeichenfolge und verwenden es mehrmals

Question

ich versuche, eine SQL-Abfrage mit Sprintf() zu erzeugen, wo ich die gleiche Variable zweimal

myStr := "test" 
str := Sprintf("SELECT ... WHERE a = '%#[1]s' or b = '%#[1]s'", myStr) 
fmt.Println(str) 

Diese Schnipsel gibt das erwartete String

SELECT ... WHERE a = 'test' or b = 'test' 

verwenden

aber go vet sagt:

unrecognized printf flag for verb 's': '#' (vet) 

Und ich bin verwirrt, warum. Das protect-Verb auf v zu schalten erfüllt go vet, aber fügt " um meine Zeichenfolge hinzu. Und ich sehe ehrlich gesagt keinen Fehler bei der Verwendung von %#[1]s.

Irgendwelche Gedanken?

Answer 1

Die Verwendung von printf zum Erstellen von Abfragen ist eine schlechte Idee, es öffnet sich für die SQL-Injektion.

Siehe benannte Parameter im sql Paket.

Answer 2

Es gibt kein # Sprintf-Flag für ein String-Verb (das Flag # ist beispielsweise das Hinzufügen von 0x für Hex-Werte:% # x). So entfernen Sie Ihre Go vet Probleme verschwinden lassen:

myStr := "test" 
str := Sprintf("SELECT ... WHERE a = '%[1]s' or b = '%[1]s'", myStr) 
fmt.Println(str) 

Aber: Wenn ein Teil Ihrer erstellte Abfrage (myStr) stammt aus externen Eingang (dh Benutzereingabe), sollten Sie wirklich Heins beraten folgen und benannte Parameter verwenden .