如何在 PHP（Laravel）中正确使用 SQL IN 子句绑定参数-php教程-PHP中文网

如何在 PHP（Laravel）中正确使用 SQL IN 子句绑定参数

在 Laravel 中直接通过命名占位符（如 :codes）向 SQL IN 子句传入字符串拼接值会导致查询失效；正确做法是使用 whereIn() 方法，由框架自动安全处理数组参数并生成适配的预处理语句。

在 laravel 中直接通过命名占位符（如 :codes）向 sql in 子句传入字符串拼接值会导致查询失效；正确做法是使用 wherein() 方法，由框架自动安全处理数组参数并生成适配的预处理语句。

在原生 SQL 中，IN 子句要求每个值独立占位（如 WHERE codes IN (?, ?, ?)），而无法用单个占位符（如 :codes）代表多个值——这是 PDO 和绝大多数数据库驱动的底层限制。你尝试传入 "'test','last'" 作为字符串，实际执行的是 WHERE codes IN ('''test'',''last''')，即把整个字符串当做一个字面量值匹配，自然无结果。

✅ 推荐方案：使用 Laravel 查询构建器的 whereIn()
该方法会自动展开数组、绑定每个元素为独立参数，并防止 SQL 注入：

// ✅ 正确：传入数组，而非字符串
$codes = ['test', 'last'];
$results = DB::table('mytable')
    ->whereIn('codes', $codes)
    ->get();

// 或使用 Eloquent 模型（假设存在 MyModel）
$results = MyModel::whereIn('codes', $codes)->get();

⚠️ 注意事项：

laravel-specialist

精通 Laravel 10+，遵循现代 PHP 实践的 Laravel 专家。擅长优雅语法、Eloquent ORM、队列系统及企业级特性...

下载

$codes 必须是索引数组（如 ['test', 'last']），不能是关联数组或 JSON 字符串；
若数据来自用户输入（如 URL 参数），务必先过滤/验证，例如：
```
$codes = array_filter(array_map('trim', request('codes', [])), 'is_string');
```
避免手动拼接 SQL（如 "IN ('" . implode("','", $arr) . "')"），这极易引发 SQL 注入漏洞；
whereIn() 支持最多 65,535 个参数（受 MySQL max_allowed_packet 限制），超量时需分批查询。

? 进阶提示：
若必须使用原生 SQL（如复杂联合查询），可动态生成占位符：

$codes = ['test', 'last'];
$placeholders = str_repeat('?,', count($codes) - 1) . '?';
$sql = "SELECT * FROM mytable WHERE codes IN ($placeholders)";
$results = DB::select($sql, $codes);

但除非必要，优先选择 whereIn() —— 更安全、简洁且可读性强。