本文介绍如何将形如 '1', '2', '3' 的字符串正确解析为纯数字序列，并安全拼入 SQL IN/NOT IN 子句，避免语法错误与 SQL 注入风险。核心在于剥离冗余引号、分割并验证数值类型。
本文介绍如何将形如 `'1', '2', '3'` 的字符串正确解析为纯数字序列，并安全拼入 sql `in`/`not in` 子句，避免语法错误与 sql 注入风险。核心在于剥离冗余引号、分割并验证数值类型。
在 PHP 开发中，常需将前端或配置传入的字符串（如 "'1', '2', '3'"）动态转为数组用于 SQL 查询条件。但直接使用 array($string) 会创建单元素数组，导致 implode() 生成错误 SQL；而未清理引号的原始字符串又会使 NOT IN (''1'', ''2'', ''3'') 出现语法错误。
正确做法分三步：清洗 → 分割 → 校验
首先移除所有单引号，再按逗号分割，最后过滤空格与非数字项：
$string = "'1', '2', '3'";
// 1. 去除所有单引号
$cleaned = str_replace("'", '', $string);
// 2. 按逗号分割并 trim 空格
$parts = array_map('trim', explode(',', $cleaned));
// 3. 过滤出合法整数（防御性处理）
$ids = array_filter($parts, function($v) {
return is_numeric($v) && (int)$v == $v; // 确保是整数
});
$ids = array_map('intval', $ids); // 统一转为整型
// 安全拼接 SQL（仍建议优先使用预处理语句）
$sql = "SELECT * FROM name WHERE id NOT IN (" . implode(',', $ids) . ") LIMIT 10";
echo $sql;
// 输出：SELECT * FROM name WHERE id NOT IN (1,2,3) LIMIT 10
⚠️ 重要注意事项：
-
永远不要直接拼接用户输入到 SQL 中 —— 上述方案仅适用于完全可信的内部数据。若 $string 来自用户请求（如 GET/POST），必须改用 PDO 预处理语句，例如：
$placeholders = str_repeat('?,', count($ids) - 1) . '?'; $stmt = $pdo->prepare("SELECT * FROM name WHERE id NOT IN ($placeholders) LIMIT 10"); $stmt->execute($ids); - str_replace("'", '', $string) 仅适用于单引号包裹场景；若存在混合引号（如 "1", '2'）或嵌套内容，应改用正则 preg_replace("/['\"]+([^'\"]+)['\"]+/", '$1', $string) 或 JSON 解析（若格式允许）。
- 若字段为字符串类型（如 VARCHAR），需为每个值重新加引号并转义：array_map(fn($v) => "'" . $pdo->quote($v) . "'", $ids)。
总结：字符串转数组不是目的，生成结构正确、类型安全、可执行的 SQL 片段才是关键。清洗 + 类型校验 + 预处理，三者缺一不可。
