Как использовать переменную в качестве имени столбца?

Question

[vlarkanov]

есть функция, долженствующая проверять наличие у пользователя прав. Если право есть - в ячейке 1, если нет - 0.

func checkIfGroupHasRight(db *sql.DB, groupname interface{}, privilege string) bool {
	...
	rows, err := db.Query("SELECT ? FROM hellgate_groups WHERE groupname=?", privilege, strGroupname)
	...
}

checkIfGroupHasRight(db, session.Values["usergroup"], "deleteuser")

При вызове получаю ошибку

error: "sql: Scan error on column index 0, name \"?\": converting driver.Value type []uint8 (\"deleteuser\") to a int: invalid syntax"

Что я делаю не так? Почему privilege (string) воспринимается драйвером как []uint8 и зачем оно пытается привести к int?

Comments

[devalone]

я обычно проверяю, что строка является валидным столбком и подставляю в запрос с помощью sprint(f)

Answer 1

[Евгений Мамонов]

Вот так можно

query := fmt.Sprintf("SELECT %s FROM hellgate_groups WHERE groupname=?", privilege) 
rows, err := db.Query(query, strGroupname)

Comments

[devalone]

Если privilege принимается от пользователя, то тут sql инъекция.

[Евгений Мамонов]

судя из описания задачи она приходит не от пользователя, а указывается в явном виде при вызове функции (deleteuser)

checkIfGroupHasRight(db, session.Values["usergroup"], "deleteuser")

[vlarkanov]

Сперва сделал так:

query := "SELECT " + privilege + " FROM hellgate_groups WHERE groupname=?"
rows, err := db.Query(query, strGroupname)

но ваш вариант красивее.

[Евгений Мамонов]

Важный момент, о котором писал devalone

Если у вас значение в будущем будет приходить из вне (т.е. не забито в код вручную), то лучше это значение проверять, чтобы было sql инъекций, например через map валидных значений (если вариантов много)