IN() и PDO: как правильно связать массив? Топ ошибок

Онлайн-тренажер Python для начинающих

Изучайте Python легко и без перегрузки теорией. Решайте практические задачи с автоматической проверкой, получайте подсказки на русском языке и пишите код прямо в браузере — без необходимости что-либо устанавливать.

Начать курс

Введение: "Почему PDO не понимает мой массив?"

Каждый PHP-разработчик, работающий с базами данных, рано или поздно сталкивается с ситуацией, когда нужно выполнить запрос с оператором IN(). Казалось бы, что может быть проще: передать массив значений и получить отфильтрованные данные. Но здесь-то и кроется главный подвох.

Вот классический пример, который приходит в голову новичку:

<?php
$ids = [1, 2, 3, 5];
$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN (:ids)");
$stmt->execute([':ids' => $ids]); // Ошибка!
?>

И тут PDO выбрасывает ошибку: "Array to string conversion" или просто возвращает пустой результат. Почему так происходит? PDO не умеет "разворачивать" массивы в SQL-запросы. Он ожидает скалярное значение для каждого именованного плейсхолдера, а не целый массив.

В этой статье мы разберем топ ошибок, которые допускают разработчики при попытке привязать массив к IN(), и покажем правильные, безопасные и эффективные решения.

Ошибка №1: Наивная передача массива в execute()

Это самая распространенная ошибка. Разработчик думает, что PDO сам догадается подставить каждое значение из массива в условие IN(). Но, как мы уже выяснили, PDO так не работает.

Как это выглядит в коде

<?php
$ids = [10, 20, 30];
$stmt = $pdo->prepare("SELECT * FROM products WHERE id IN (:ids)");
$stmt->execute([':ids' => $ids]); // Fatal error
?>

Результат: Ошибка или предупреждение о преобразовании массива в строку. Даже если код «проскочит», PDO подставит слово "Array" в запрос — и вы получите WHERE id IN ('Array'), что не имеет смысла.

Почему так происходит? PDO требует, чтобы каждому плейсхолдеру соответствовало одно значение. Массив — это не значение, а набор значений. PDO не умеет и не должен догадываться, что вы хотите сделать.

Ошибка №2: Использование bindValue() с массивом

Иногда разработчики пытаются обмануть PDO, используя bindValue():

<?php
$ids = [1, 2, 3];
$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN (:ids)");
$stmt->bindValue(':ids', $ids, PDO::PARAM_STR); // Ошибка!
$stmt->execute();
?>

Проблема та же: bindValue() ожидает скалярное значение. Массив будет преобразован в строку "Array", и запрос не выполнится корректно. Третий параметр (PDO::PARAM_STR) не спасает — он лишь указывает тип данных, но не меняет логику работы с массивом.

Ошибка №3: Прямая конкатенация (SQL-инъекция)

Отчаявшись, некоторые разработчики идут по пути наименьшего сопротивления — просто вставляют массив в запрос через implode():

<?php
$ids = [1, 2, 3];
$ids_str = implode(',', $ids);
$stmt = $pdo->query("SELECT * FROM users WHERE id IN ($ids_str)"); // Опасно!
?>

Чем это опасно? Если значения в массиве приходят от пользователя (например, из GET-параметров или формы), злоумышленник может передать 1; DROP TABLE users; --. Запрос превратится в IN (1; DROP TABLE users; --), и ваша база данных будет уничтожена. Это классическая SQL-инъекция.

Даже если вы уверены, что данные безопасны, такая практика — плохой тон. Однажды вы забудете проверить источник данных, и последствия будут катастрофическими.

Правильное решение: Динамические плейсхолдеры

Теперь к хорошим новостям. PDO позволяет создавать плейсхолдеры динамически. Вам нужно сгенерировать строку с нужным количеством ? или :id1, :id2, ... и передать массив значений отдельно.

Способ 1: Использование позиционных плейсхолдеров (?)

Это самый простой и популярный метод:

<?php
$ids = [1, 2, 3, 5, 8];

// Создаем строку плейсхолдеров: "?, ?, ?, ?, ?"
$placeholders = implode(',', array_fill(0, count($ids), '?'));

$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholders)");
$stmt->execute($ids); // Передаем массив значений
$users = $stmt->fetchAll();
?>

Как это работает:

array_fill(0, count($ids), '?') создает массив из ? нужной длины.
implode(',', ...) соединяет их через запятую.
В итоге запрос выглядит так: WHERE id IN (?, ?, ?, ?, ?).
При вызове execute($ids) PDO подставляет каждое значение на свое место.

Этот способ полностью защищает от SQL-инъекций, так как значения передаются отдельно от запроса.

Способ 2: Именованные плейсхолдеры (:id1, :id2, ...)

Если вы предпочитаете именованные плейсхолдеры, можно сделать так:

<?php
$ids = [1, 2, 3, 5, 8];

// Создаем массив плейсхолдеров: [":id0", ":id1", ":id2", ...]
$placeholders = [];
$params = [];
foreach ($ids as $i => $id) {
    $key = ":id$i";
    $placeholders[] = $key;
    $params[$key] = $id;
}

$placeholder_str = implode(',', $placeholders);
$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholder_str)");
$stmt->execute($params);
$users = $stmt->fetchAll();
?>

Преимущество: Более читаемый код, если нужно смешивать с другими параметрами (например, WHERE status = :status AND id IN (...)).

Недостаток: Нужно следить за уникальностью ключей. Если у вас уже есть плейсхолдер :id в запросе, придется выбирать другие имена.