PHP PDO 预处理语句绑定数组参数为什么不生效

PHP PDO 预处理语句绑定数组参数不生效，通常不是数组传错，而是把“参数集合”和“一个参数的值”混在了一起。下面这种写法只有一个占位符，PDO 会把整个数组当成一个值处理，不能自动变成 IN (10, 20, 30)：

prepare('SELECT id, name FROM users WHERE id IN (:ids)');
$stmt->execute(['ids' => $ids]);
// 这里不会把 :ids 自动展开成三个 IN 值
?>

正确做法是让 SQL 中的占位符数量和数组元素数量一致：数组有 3 个 id，就生成 3 个独立占位符。数组为空时提前返回或走业务上的“无结果”分支，不能生成空的 IN ()。

为什么一个 :ids 接不住一组值

PDO 的参数标记代表一个完整数据字面量，不能代替 SQL 关键字、列名、表名，也不能代替一段任意 SQL。IN (:ids) 的语法位置需要的是一个值列表，而不是一个值，所以把 PHP 数组塞给 :ids 时，PDO 没有义务替你重写 SQL。

还要注意两个容易混淆的边界：不能把占位符写成 ':ids'，引号会让它成为普通字符串；也不能把表名或列名交给占位符。动态列名只能从服务端白名单中选择，不能直接拼接用户输入。

为 IN 查询生成一一对应的占位符

最小修复是先根据数组长度生成问号，再把数组原样传给 execute()。下面的函数只拼接由数量决定的问号，用户传入的 id 从头到尾都是绑定值。

prepare($sql);

    // 每个 ? 按顺序接收一个值
    $stmt->execute(array_values($ids));
    return $stmt->fetchAll(PDO::FETCH_ASSOC);
}
?>

如果项目习惯命名参数，也可以生成 :id0、:id1、:id2，再构造同名参数数组。两种写法都要保证占位符和值的数量相等；不要为了“看起来安全”把数组转成逗号字符串直接塞进 SQL。

空数组、类型和异常信息怎么复查

先处理空数组是业务判断，不是 PDO 技巧。列表来自筛选条件时，可以直接返回空结果；如果空列表代表“不过滤”，则应选择另一条明确的 SQL 分支，不能把条件默默删掉。

setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

try {
    $rows = findUsersByIds($pdo, [10, 20, 30]);
} catch (PDOException $e) {
    // 记录内部日志；对外只返回通用错误信息
    error_log($e->getMessage());
    throw $e;
}
?>

最后复查 array_values()：位置占位符要求按 0 开始的连续顺序传值。若使用 bindValue()，也要在循环中为每个占位符绑定一个标量，而不是把整个数组绑定到一个名字上。实际参数类型可按业务转换为整数或字符串，但不要为了掩盖 SQL 结构错误反复改类型。

常见问题

PDO 能不能直接把数组绑定到一个命名参数？

不能。一个命名参数对应一个值；数组查询需要先生成多个占位符。

生成占位符时可以拼接用户传入的 id 吗？

不可以。只能拼接由数量生成的占位符，id 本身通过 execute() 或逐个绑定传入。

空数组是不是传一个不存在的 id 就行？

不建议。用不存在的 id 代替空集合会把业务语义藏起来，直接返回空结果或选择明确查询分支更可靠。

把“数组参数”拆成“占位符结构”和“绑定值集合”后，PDO 的行为就很清楚了：结构动态生成，值始终参数化，空集合单独决策。