IN子句本身不防注入，必须动态生成与参数数量一致的占位符（如?, ?, ?）并逐一绑定，禁用字符串拼接；空列表需特殊处理为WHERE 1=0，否则语法报错。
IN 子句本身不防注入，问题出在“动态拼接参数列表”这一步
很多人以为只要用了 IN 就算安全，结果把用户输入的逗号分隔字符串直接塞进 SQL 里："SELECT * FROM products WHERE id IN (" + user_ids + ")"。一旦 user_ids 是 "1, 2, (SELECT password FROM users LIMIT 1), 3"，就完蛋了。
为什么不能用字符串拼接构造 IN 列表
数据库不接受“运行时解析字符串为值列表”这种操作——IN 后面必须是确定数量的独立参数（?, ?, ?），不是一串文本。你拼出来的 "1,2,3" 在 SQL 层就是字面量字符串，不是三个整数。
- 预处理语句的占位符
?必须一一对应，不能“一个 ? 代表多个值” - 不同驱动对
IN参数的支持不一致：MySQL 支持WHERE id IN (?, ?, ?)，但 PostgreSQL 要求用ANY(ARRAY[?, ?, ?]) - 硬编码拼接还绕过了 ORM 的参数化保护，比如 Prisma 的
$queryRawUnsafe就是典型雷区
安全生成 IN 参数列表的实操方式
核心原则：参数个数必须提前可知，且每个值单独绑定。
- 前端传数组（如 JSON
["1","5","9"]），后端解析成列表，再按长度生成对应数量的? - Python + psycopg2 示例：
ids = [1, 5, 9]; placeholders = ','.join(['%s'] * len(ids)); cursor.execute(f"SELECT * FROM items WHERE id IN ({placeholders})", ids) - Node.js + pg：
const values = [1,5,9]; const query = { text: 'SELECT * FROM items WHERE id = ANY($1)', values: [values] };（注意用ANY($1)，不是拼字符串） - 绝对不要做：
WHERE id IN (${userInput.split(',').map(x => `'${x}'`).join(',')})
ORM 框架里怎么写才不踩坑
主流 ORM 大多提供原生支持，但写法不对照样翻车。
- Prisma：
where: { id: { in: [1, 5, 9] } }✅；$queryRawUnsafe+ 手动拼IN❌ - SQLAlchemy：
filter(Model.id.in_([1, 5, 9]))✅；text("WHERE id IN :ids")未绑定参数 ❌ - MyBatis：
#{}（非${}）才能走预编译
最易被忽略的一点：当 ID 列表为空时，IN () 在多数数据库会语法报错。得单独判断空数组并改写为 WHERE 1=0 或跳过条件——这个边界逻辑漏掉，轻则报错，重则暴露业务逻辑。
