IN() e PDO: como vincular um array corretamente? Erros comuns

Introdução: "Por que o PDO não entende meu array?"

Todo desenvolvedor PHP que trabalha com bancos de dados, mais cedo ou mais tarde, enfrenta a situação de precisar executar uma consulta com o operador IN(). Parece simples: basta passar um array de valores e obter os dados filtrados. Mas é aí que está o grande problema.

Aqui está um exemplo clássico que vem à mente de um iniciante:

<?php\n$ids = [1, 2, 3, 5];\n$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN (:ids)");\n$stmt->execute([':ids' => $ids]); // Erro!\n?>

E então o PDO lança um erro: "Array to string conversion" ou simplesmente retorna um resultado vazio. Por que isso acontece? O PDO não sabe "desdobrar" arrays em consultas SQL. Ele espera um valor escalar para cada placeholder nomeado, não um array inteiro.

Neste artigo, vamos analisar os principais erros que os desenvolvedores cometem ao tentar vincular um array ao IN() e mostrar soluções corretas, seguras e eficientes.

Erro nº1: Passagem ingênua do array no execute()

Este é o erro mais comum. O desenvolvedor acha que o PDO vai adivinhar que deve substituir cada valor do array na condição IN(). Mas, como já vimos, o PDO não funciona assim.

Como fica no código

<?php\n$ids = [10, 20, 30];\n$stmt = $pdo->prepare("SELECT * FROM products WHERE id IN (:ids)");\n$stmt->execute([':ids' => $ids]); // Erro fatal\n?>

Resultado: Erro ou aviso sobre conversão de array para string. Mesmo que o código "passe", o PDO substituirá a palavra "Array" na consulta — e você terá WHERE id IN ('Array'), o que não faz sentido.

Por que isso acontece? O PDO exige que cada placeholder corresponda a um único valor. Um array não é um valor, mas um conjunto de valores. O PDO não sabe e não deve adivinhar o que você quer fazer.

Erro nº2: Uso do bindValue() com array

Às vezes, os desenvolvedores tentam enganar o PDO usando bindValue():

<?php\n$ids = [1, 2, 3];\n$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN (:ids)");\n$stmt->bindValue(':ids', $ids, PDO::PARAM_STR); // Erro!\n$stmt->execute();\n?>

O problema é o mesmo: bindValue() espera um valor escalar. O array será convertido para a string "Array", e a consulta não será executada corretamente. O terceiro parâmetro (PDO::PARAM_STR) não resolve — ele apenas define o tipo de dado, mas não altera a lógica de manipulação do array.

Erro nº3: Concatenação direta (Injeção SQL)

Desesperados, alguns desenvolvedores seguem o caminho mais fácil — simplesmente inserem o array na consulta usando implode():

<?php\n$ids = [1, 2, 3];\n$ids_str = implode(',', $ids);\n$stmt = $pdo->query("SELECT * FROM users WHERE id IN ($ids_str)"); // Perigoso!\n?>

Qual o perigo? Se os valores no array vierem do usuário (por exemplo, de parâmetros GET ou formulários), um invasor pode enviar 1; DROP TABLE users; --. A consulta se tornará IN (1; DROP TABLE users; --), e seu banco de dados será destruído. Isso é uma injeção SQL clássica.

Mesmo que você tenha certeza de que os dados são seguros, essa prática é um mau hábito. Um dia você esquecerá de verificar a origem dos dados, e as consequências serão catastróficas.

Solução correta: Placeholders dinâmicos

Agora, as boas notícias. O PDO permite criar placeholders dinamicamente. Você precisa gerar uma string com a quantidade necessária de ? ou :id1, :id2, ... e passar o array de valores separadamente.

Método 1: Uso de placeholders posicionais (?)

Este é o método mais simples e popular:

<?php\n