PHP PDO 怎样绑定动态数量的 IN 参数

PHP PDO 绑定动态数量的 IN 参数，需要为每个值生成独立占位符，再逐个绑定。不能把数组或逗号分隔字符串交给一个 ?，期待 PDO 自动扩展成多个条件。动态变化的应是程序生成的占位符数量，不是直接拼进 SQL 的用户输入。

我更愿意把多选筛选当成一个有明确输入契约的小功能：先约定空列表，再生成参数，最后处理无结果和失败。下面使用“筛选当前租户内的记录”这一原创场景，不描述实际生产经历；代码未在本文任务中执行。

PHP官方文档：https://www.php.net/manual/en/pdo.prepare.php

多选任务先确定空列表语义

在筛选页面里，“没有选择任何项”可以表示不加筛选，也可以表示没有可查询对象。两种语义都需要显式定义。本文采用后者：空数组返回空结果，不发送 SQL。不要因列表为空，就悄悄删掉权限条件或把查询扩大到全部记录。

界面应该告诉使用者目前选中了多少项、没有结果是因为未选择还是没有可访问记录。多选项需要可理解的标签与键盘操作支持，但界面限制不能替代后端输入判断。本文只讲后端 PDO 参数，不把说明图当成真实软件界面。

占位符数量与值的数量一一对应

PDO 官方文档规定，占位符表示完整数据值，不表示表名、字段名或任意 SQL 片段。因此 IN (?) 中的一个参数只对应一个值。若输入有三个 ID，就生成三个独立位置；有额外租户条件，还要为租户保留自己的位置。

我在组织这种代码时，会把“合法ID列表”“占位符模板”“绑定位置”分开看。程序只拼接自己生成的问号和逗号，记录ID通过绑定传入。表名、列名和排序固定在源码中；需要动态排序时，应另用白名单选择完整的预定义表达式，而不是绑定用户提供的 SQL 标识符。

把参数生成放进独立查询函数

下面函数假设已有授权的 PDO 连接，并采用异常错误模式。示例表为 records(id, tenant_id, title)；表结构与数据需读者按自己的测试环境准备。tenantId 必须来自服务器认证上下文，不从客户端自行指定。示例限定正整数ID且不接受前导零，不适合UUID或超出PHP整数范围的编号。

 200) {
        throw new InvalidArgumentException('查询范围不合法');
    }

    $unique = [];
    foreach ($rawIds as $raw) {
        // 不把浮点数、数组、布尔值或带后缀字符串强转成ID
        if (!is_int($raw) && !is_string($raw)) {
            throw new InvalidArgumentException('ID类型不合法');
        }
        $text = (string) $raw;
        if (!preg_match('/^[1-9][0-9]*$/D', $text)) {
            throw new InvalidArgumentException('ID格式不合法');
        }
        $id = filter_var($text, FILTER_VALIDATE_INT, [
            'options' => ['min_range' => 1, 'max_range' => PHP_INT_MAX],
        ]);
        if ($id === false) {
            throw new InvalidArgumentException('ID超出整数范围');
        }
        $unique[$id] = $id;
    }

    $ids = array_values($unique);
    if ($ids === []) {
        // 空选择直接返回，避免构造IN空括号或扩大查询范围
        return [];
    }

    $marks = implode(', ', array_fill(0, count($ids), '?'));
    $sql = 'SELECT id, title FROM records '
         . 'WHERE tenant_id = ? AND id IN (' . $marks . ') ORDER BY id';

    $stmt = $pdo->prepare($sql);
    if ($stmt === false) {
        throw new RuntimeException('无法准备查询');
    }
    try {
        // 位置占位符从1开始；租户占第1位，ID从第2位开始
        if (!$stmt->bindValue(1, $tenantId, PDO::PARAM_INT)) {
            throw new RuntimeException('无法绑定租户');
        }
        foreach ($ids as $offset => $id) {
            if (!$stmt->bindValue($offset + 2, $id, PDO::PARAM_INT)) {
                throw new RuntimeException('无法绑定ID');
            }
        }
        // 已逐个绑定，不再传数组覆盖本次绑定方式
        if (!$stmt->execute()) {
            throw new RuntimeException('查询执行失败');
        }
        return $stmt->fetchAll(PDO::FETCH_ASSOC);
    } finally {
        // 释放结果游标；连接生命周期由调用方管理
        $stmt->closeCursor();
    }
}

主函数的输入规范是教学设计，不是 PDO 自带校验。PDO::PARAM_INT 指定绑定类型，不能替代格式判断。官方 bindValue 文档说明位置参数从1开始；本例额外有租户条件，所以ID位置要加2。

传数组给 execute 也是合法方式，不过官方文档说明该方式中的值按 PDO::PARAM_STR 处理。本文为了让整数绑定意图清晰，统一使用 bindValue 再无参数执行，不混用两种写法。

查询结果要保留权限与可理解状态

建议读者在自己的非生产数据上尝试：同租户的有效ID、不存在ID、另一租户ID，以及空数组。预期是查询只返回满足全部条件的行；无结果和异常必须分别呈现。本文没有真实输出，不保证读者未准备的表或连接能够直接运行。

当前示例的租户过滤只是权限模型的一部分。如果还有逐记录权限、软删除或工作区范围，应在同一查询中继续保留。参数化解决值与SQL结构分离，不会自动授权访问。结果按ID排序，不是按选择顺序；页面需要恢复用户顺序时，要在授权结果基础上另做映射。

返回标题用于页面显示时仍需按输出上下文进行转义。对外只提供适当错误提示，详细数据库错误进入受控日志，不把连接凭据或完整SQL敏感参数公开给浏览器。

大列表与特殊值不要静默修正

本文的200项是示例应用上限，不是数据库参数限制或性能结论。很大的列表会增加SQL长度与绑定成本，数据库和驱动还可能有自己的限制。需要批量查询时，可以评估分批或临时表，但跨批排序、分页、结果一致性和权限条件都必须重新设计，不能只循环查询后随意截取。

命名占位符也可以动态生成吗？

可以，由程序生成唯一名字并逐值绑定。不要依赖重复使用同一个名称，也不要混用命名与位置两种参数样式。

IN中的NULL可以匹配数据库NULL吗？

需要单独考虑SQL空值语义，不能默认把NULL放进列表就等同于IS NULL。本文拒绝NULL，若业务需要则明确设计独立条件。

预处理一次，可以反复换列表长度吗？

长度变化意味着占位符模板变化，需要相应语句。相同长度才可以复用同一模板并重新绑定全部值；不要遗留旧参数。

对我来说，这种实现适合数量受控的整数ID筛选：把界面选择、后端格式、参数位置和权限条件放在同一契约里。它的代价是代码比直接拼字符串长，但每个值怎样进入查询更容易解释。官方参考：https://www.php.net/manual/en/pdostatement.bindvalue.php；https://www.php.net/manual/en/pdostatement.execute.php。