PDO中的IN()：如何无痛无误地传递数组

“我能将数组绑定到IN()条件吗？”——这个问题困扰着几乎每一位PHP开发者

你是否曾经写过类似 SELECT * FROM users WHERE id IN (?) 的查询，并试图通过 bindValue() 传递一个数组？如果是——你一定知道那种失望的感觉：PDO只返回了一行，而不是所有需要的数据。或者更糟——直接抛出一个错误。

这个问题在Stack Overflow上获得了数千次浏览，这并非偶然。看起来很简单：传递数组，得到结果。但PDO（PHP数据对象）是个严格的东西。它不会自动将数组“展开”成 IN() 的值列表。而有趣的事情就在这里开始了：开发者们想出了各种错误，我们今天就来逐一分析。更重要的是——学会如何避免它们。

在本文中，我们不仅会给出现成的解决方案。我们将从错误的代码出发，走向安全、高效且优雅的代码。开始吧！

错误#1：天真地通过bindValue传递数组

最常见的“坑”——试图直接将数组塞进 bindValue()。

// ❌ 错误\n$ids = [1, 2, 3, 5];\n$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN (?)");\n$stmt->bindValue(1, $ids, PDO::PARAM_STR);\n$stmt->execute();\n$users = $stmt->fetchAll();

会发生什么？PHP会将数组转换为字符串 "Array"，查询就变成了 WHERE id IN ("Array")。结果——根据驱动不同，要么返回零行，要么报错。PDO根本不明白需要将数组拆分成单独的占位符。

为什么会这样？ PDO期望的是标量值（字符串、数字、null）。数组是复合类型，不适合直接绑定。

如何修复？

需要手动为数组的每个元素创建占位符。没有魔法，只有代码。

// ✅ 正确\n$ids = [1, 2, 3, 5];\n$placeholders = implode(',', array_fill(0, count($ids), '?'));\n$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholders)");\n$stmt->execute($ids);\n$users = $stmt->fetchAll();

这里我们创建了一个类似 ?,?,?,? 的字符串，并将数组直接传递给 execute()。PDO会按顺序自动替换值。简单又安全。

错误#2：忽略数据类型

假设你使用了命名占位符。这时你可能会忍不住这样做：

// ❌ 错误\n$ids = [1, 2, 3];\n$placeholders = [];\nforeach ($ids as $i => $id) {\n    $placeholders[] = ":id_$i";\n}\n$sql = "SELECT * FROM users WHERE id IN (" . implode(',', $placeholders) . ")";\n$stmt = $pdo->prepare($sql);\nforeach ($ids as $i => $id) {\n    $stmt->bindValue(":id_$i", $id, PDO::PARAM_INT);\n}\n$stmt->execute();

看起来似乎没问题。但有一个细节：如果数组为空，查询会变成 WHERE id IN ()，这会导致SQL语法错误。第二个问题是，如果数组中有字符串，而你指定了 PDO::PARAM_INT，PDO可能会将它们转换为零。

解决方案：始终检查数组是否为空，并动态确定类型。

// ✅ 正确\n$ids = [1, 2, 3];\nif (empty($ids)) {\n    return []; // 或者抛出异常\n}\n$placeholders = [];\nforeach ($ids as $i => $id) {\n    $placeholders[] = ":id_$i";\n}\n$sql = "SELECT * FROM users WHERE id IN (" . implode(',', $placeholders) . ")";\n$stmt = $pdo->prepare($sql);\nforeach ($ids as $i => $id) {\n    $type = is_int($id) ? PDO::PARAM_INT : PDO::PARAM_STR;\n    $stmt->bindValue(":id_$i", $id, $type);\n}\n$stmt->execute();

错误#3：通过“手动”转义导致SQL注入

有些开发者在绝望中会写出类似这样的代码