无恒实验室联合GORM推出安全好用的ORM框架-GEN-安全KER

背景

数据库操作是大多数程序员必不可少的工作， GORM 作为一个拥有 25k star 的项目已经是 Go 语言操作关系型数据库的首选。

由于 GORM 中提供了很多 interface{} 形式的参数，这让程序员很容易误用，导致线上项目存在 SQL 注入的风险。
在操作数据库时候，因为没有对应的结构体可以绑定，最后只能默默的拼接出一条 SQL 去执行。
复杂的数据库表查询场景时，开发者需逐条手写数据表中的列与对应结构体的成员变量，逐条核对字段类型。遇到字段类型新增和变更，更改地方一大堆。

你和你的团队是否也为此事苦恼过？

由字节跳动无恒实验室与 GORM 作者（https://github.com/jinzhu)联合研发的开源工具 GEN 你值得一试！

什么是 GEN

GEN 是一个基于 GORM 的安全 ORM 框架，其主要通过代码生成方式实现 GORM 代码封装。旨在安全上避免业务代码出现 SQL 注入，同时给研发带来最佳用户体验。

GEN 来告诉你，什么叫最佳用户体验：

⚡️ 自动同步库表，省去繁琐复制
🔗 代码一键生成，专注业务逻辑
🐞 字段类型安全，执行 SQL 也安全
😉 查询优雅返回，完美兼容 GORM

GEN 提供了自动同步数据表结构体到 GORM 模型，使用非常简单，即使数据库字段信息改变，可以一键同步，数据库查询相关代码可以一键生成，CRUD 只需要调用对应的方法，开发体验飞起。GEN 采用了类型安全限制，所有参数都做了安全限制，完全不用担心存在注入；最重要的是自定义 SQL 只需要通过模板注释到 interface 的方法上，自动帮助你生成安全的代码，是的，自定义 SQL 也不会出现 SQL 注入问题，而且工具完美兼容 GORM！

让我们看下直接使用 GORM 与 GEN 工具的对比

GORM 和 GEN 查询对比案例

如何使用 GEN

1. 下载

go get gorm.io/gen

2. 生成

更详细的配置示例可以参照：最佳实践 DEMO(https://github.com/idersec/gendemo)

执行以下方法后即可在指定目录生成对应代码：

3. 基础查询

执行生成代码后，GEN 会帮助生成基础的查询方法，并且绑定到结构体上，可以直接调用函数查询获取查询结果，不需要提前定义变量，参数和结构体字段类型绑定，防止研发过程中误用。

GEN 满足了基本上所有的日常使用的查询方法，包括事务、关联关系等高级用法，更多案例请参考：https://github.com/go-gorm/gen#readme

自定义 SQL 查询

自定 SQL 的安全性是所有 ORM 最难解决的问题，GEN 使用模板注释的方法完美解决了这个问题，只需要将 SQL 注释到 interface 的方法上。SQL 支持简单的 where 查询和完整 SQL 查询，条件用Where()语法包住。Raw SQL 用sql()包住，也可省略直接写。

占位符

gen.T 用于返回数据的结构体，会根据生成结构体或者数据库表结构自动生成
gen.M 表示map[string]interface{},用于返回数据
gen.RowsAffected 用于执行 SQL 进行更新或删除时候,用于返回影响行数
@@table 查询的表名，如果没有传参，会根据结构体或者表名自动生成
@@<name> 当表名或者字段名可控时候，用@@占位，name 为可变参数名，需要函数传入。
@<name> 当数据可控时候，用@占位，name 为可变参数名，需要函数传入

子句

目前支持 if 、where 、set 子句，子句需要用{{}}括起来，并且需要用{{end}} 结束子句。where 和 set 子句会帮助做连接词补全和开头连接词删除。各个子句支持嵌套使用。

GEN 会自动生成安全的实现代码，并且和结构体绑定。使用时候直接调用对应的函数即可。

5. 最佳实践目录推荐

GEN 项目地址

https://github.com/go-gorm/gen

写在最后

GEN 是一个从开始研发就立足安全角度的项目，在项目过程中充分考虑业务使用的需求，特别是很多 GORM 的功能，GORM 项目已经维护发展了 8 年，集成了很多业务使用的需求。GEN 对 GORM 完全兼容，将 GORM 的所有功能实现到 GEN 工具中。在安全上，采用了类型安全限制和充分的安全检查，完全避免了出现 SQL 注入问题，在用户体验上，增加了自动同步表结构体功能和一键所有查询相关代码生成功能，开发体验拉满，快来在你的项目上试试吧😉 。

无恒实验室(https://security.bytedance.com/security-lab)致力于为字节跳动旗下产品与业务保驾护航，亦极为重视开源软件与系统对业务安全的影响，在检测公司引入的开源框架和系统的同时，无恒实验室也着力于构建第三方框架和组件的漏洞缓解机制，并将持续与业界共享研究成果，协助企业业务避免遭受安全风险，亦望能与业内同行共同合作，为网络安全行业的发展做出贡献。（无恒实验室持续招聘中）

扫码加入 GEN 飞书交流群，用请飞书扫描呦