Как привязать массив к условию IN() в PDO запросе?

Проблема и её корень

PDO не поддерживает привязку массива к одному плейсхолдеру в условии IN(). Когда вы пишете :ids, PDO ожидает одно скалярное значение (строку или число), а не массив. Передача массива напрямую вызовет ошибку или неожиданное поведение.

Правильное решение: динамическое создание плейсхолдеров

Нужно сгенерировать нужное количество именованных плейсхолдеров (по одному на каждый элемент массива) и затем передать их в execute. Вот универсальный и безопасный способ:

// Исходные данные
$ids = [1, 5, 7, 12];

// Создаём массив плейсхолдеров: [':id0', ':id1', ':id2', ':id3']
$placeholders = [];
$params = [];
foreach ($ids as $index => $id) {
    $placeholder = ':id' . $index;
    $placeholders[] = $placeholder;
    $params[$placeholder] = (int) $id; // явно приводим к int для безопасности
}

// Формируем SQL с динамическими плейсхолдерами
$sql = 'SELECT * FROM users WHERE id IN (' . implode(', ', $placeholders) . ')';
$stmt = $pdo->prepare($sql);
$stmt->execute($params);

// Получаем результаты
$users = $stmt->fetchAll(PDO::FETCH_ASSOC);

Важные моменты:

• Безопасность: мы не подставляем значения напрямую в SQL, а используем плейсхолдеры. PDO экранирует их корректно.
• Типизация: принудительно приводим ID к целым числам через (int) — это дополнительная защита от инъекций.
• Гибкость: метод работает с массивами любой длины.

Упрощённый вариант с позиционными плейсхолдерами (?)

Можно использовать вопросительные знаки вместо именованных плейсхолдеров — это короче:

$ids = [1, 5, 7, 12];
$placeholders = implode(', ', array_fill(0, count($ids), '?')); // "?, ?, ?, ?"
$sql = "SELECT * FROM users WHERE id IN ($placeholders)";
$stmt = $pdo->prepare($sql);
$stmt->execute($ids); // передаём массив как есть
$users = $stmt->fetchAll(PDO::FETCH_ASSOC);

Этот вариант проще, но требует, чтобы все значения были одного типа (PDO сам приведёт их к строкам, что для чисел безопасно).

Что делать с пустым массивом?

Если массив может быть пустым, нужно добавить проверку, иначе SQL станет некорректным (WHERE id IN () — синтаксическая ошибка). Пример:

if (empty($ids)) {
    // Вернуть пустой результат или выбросить исключение
    return []; 
}
// ... остальной код

Когда массив содержит строки

Если в массиве строки (например, UUID), подход тот же, но убедитесь, что PDO обрабатывает их как строки. При использовании позиционных плейсхолдеров PDO автоматически подставит строки в кавычках.

$uuids = ['a1b2c3', 'd4e5f6', 'g7h8i9'];
$placeholders = implode(', ', array_fill(0, count($uuids), '?'));
$sql = "SELECT * FROM users WHERE uuid IN ($placeholders)";
$stmt = $pdo->prepare($sql);
$stmt->execute($uuids);

Заключение

Динамическое создание плейсхолдеров — единственный правильный способ работы с IN() в PDO. Это безопасно, гибко и полностью совместимо с подготовленными запросами. Никогда не используйте implode для подстановки значений напрямую в SQL — это открывает путь для SQL-инъекций.

$ids = [1, 5, 7, 12];
$idsStr = implode(',', $ids); // "1,5,7,12"
$sql = "SELECT * FROM users WHERE FIND_IN_SET(id, :idsStr)";
$stmt = $pdo->prepare($sql);
$stmt->execute([':idsStr' => $idsStr]);
$users = $stmt->fetchAll();