PHP PDO 怎样为 IN 查询动态绑定参数

PHP PDO 处理 IN 查询时，不能把整个数组塞进一个 ?。正确做法是根据数组长度生成同样数量的占位符，再把每个值按顺序交给 execute() 或逐个交给 bindValue()。这样 SQL 的结构仍然固定，用户输入只作为参数值进入查询。

官方文档：https://www.php.net/manual/en/pdo.prepare.php

这篇只处理三个容易混在一起的问题：占位符数量、参数类型和 SQL 注入边界。若线上日志出现 SQLSTATE[HY093]，先按下面的“快速判断”确认 SQL 标记数与传入值数是否一致。

先看触发信号：一个占位符不能代表一组值

下面这种写法看起来像是把数组绑定到 IN，实际上只有一个参数标记：

prepare('SELECT id, name FROM users WHERE id IN (?)');
$stmt->execute([$ids]);

PDOStatement::execute() 的参数数组是“每个参数标记对应一个值”，不是自动展开的二维结构。PDO 官方文档也明确说明，一个参数不能绑定多个值；因此 IN (?) 与 [$ids] 的语义并不匹配。

快速判断：先数占位符，再数绑定值

排查时把查询拆成两个可数的对象：

• IN 括号里有几个 ? 或命名参数；
• execute() 数组或 bindValue() 调用了几次；
• 如果使用问号占位符，值数组必须保持从零开始的顺序索引；
• 如果使用命名参数，每个参数名都必须在 SQL 中出现，并且不要混用问号和命名参数。

只要这两边的数量和顺序不能对应，先修正参数组装，不要用字符串拼接去“补齐” SQL。

处理步骤：按数组长度生成独立占位符

最小可用写法是先规范化输入，再生成占位符列表。下面的示例只让数组长度影响 SQL 结构，让具体 ID 仍通过参数绑定：

prepare($sql);

// 值按占位符顺序绑定，数组内容不会直接拼进 SQL。
$stmt->execute($ids);
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

这里的关键不是“把数组转成字符串”，而是只生成参数标记本身。即使数组里的值包含引号、逗号或其他特殊字符，它们也不会改变 SQL 的语法结构。

类型边界：需要整数时逐个 bindValue

execute($params) 适合快速绑定输入值，但官方文档指出，传入的参数值会按字符串处理。如果查询条件明确是整数 ID，想保留参数类型，可以使用逐个 bindValue()：

 $id) {
    $names[] = ':id_' . $index;
}

$sql = 'SELECT id, name FROM users WHERE id IN (' . implode(', ', $names) . ')';
$stmt = $pdo->prepare($sql);

foreach ($ids as $index => $id) {
    // 明确按整数绑定，避免把 ID 的类型交给默认推断。
    $stmt->bindValue(':id_' . $index, (int) $id, PDO::PARAM_INT);
}

// bindValue() 已经完成绑定，这里不要再传入一个 execute 数组覆盖绑定。
$stmt->execute();
$rows = $stmt->fetchAll(PDO::FETCH_ASSOC);

如果数组来自表单或 JSON，类型转换不应代替业务校验。比如 ID 必须是正整数时，应先拒绝空字符串、负数和超出业务范围的输入，再进行 PDO::PARAM_INT 绑定。

空数组和字符串列表怎么处理

空数组不能直接生成 IN ()。最稳妥的做法是明确业务语义：返回空结果、跳过查询，或者改用一个必定不匹配的条件。不要让数据库驱动去猜。

如果条件是字符串，例如状态值，仍然要为每个元素生成独立的命名参数：

 $value !== ''));
if ($statuses === []) {
    return [];
}

$params = [];
$tokens = [];
foreach ($statuses as $index => $status) {
    $key = ':status_' . $index;
    $tokens[] = $key;
    $params[$key] = $status;
}

$sql = 'SELECT id, status FROM orders WHERE status IN (' . implode(', ', $tokens) . ')';
$stmt = $pdo->prepare($sql);
// 只传参数值，PDO 负责处理引号和特殊字符。
$stmt->execute($params);

回滚路径：不要把表名和列名当成参数值

占位符只能代表完整的数据值，不能代表表名、列名、排序关键字或一段 SQL 语法。下面这种思路即使写成占位符，也不会得到合法的动态 SQL：

prepare($sql);
$stmt->execute();

如果已有代码把列名、排序方向和 IN 值混在一个拼接函数里，回滚时先拆开：值统一走 PDO 参数，标识符改成固定白名单，结构变更再走代码审查。

上线前速查：三类错误分别看哪里

最后记住一个简单规则：IN 里有几个元素，就准备几个占位符；每个真实值都通过参数进入；所有表名、列名和排序方向都必须来自受控的白名单。这样既能处理动态数量，也不会退回到把用户输入直接拼入 SQL 的做法。

相关问题

• PDO 的命名参数和问号参数能在同一条 SQL 中混用吗？不能，选择一种参数风格并保持一致。
• 同一个命名参数可以在 SQL 中重复出现吗？不要依赖重复复用；为每个出现位置准备独立参数名。
• 为什么 bindValue() 后要调用无参数的 execute()？因为绑定已经完成，再传数组可能替换已有绑定。
• 数组很大时还要一次性使用 IN 吗？需要结合数据库参数上限和业务查询量，必要时分批查询或改用临时表。