PDO 的 IN 子句不支持将数组直接绑定为单个占位符；必须为每个待匹配值单独生成 ? 占位符，并分别绑定对应参数。
php 中使用 pdo 执行含 `in` 子句的 sql 语句时，若尝试将数组（如 `[1,2,3]`）通过 `implode()` 拼接后绑定到单个 `?` 占位符，会导致数据库仅识别第一个值——这是因为 pdo 将整个字符串（如 `"1,2,3"`）作为单一标量参数处理，而非多个独立整数。正确做法是动态生成与数组长度一致的占位符序列，并逐一绑定。
要实现安全、高效的动态 IN 参数绑定，关键在于两步：占位符数量动态化 和 参数数组结构对齐。
首先，使用 array_fill() 生成与 $changeTheseIDs 长度相同的 ? 占位符字符串：
$inPH = implode(',', array_fill(0, count($changeTheseIDs), '?'));
例如当 $changeTheseIDs = [1, 2, 3] 时，$inPH 结果为 "?, ?, ?"。
接着，将该字符串嵌入 SQL 模板，构造合法的预处理语句：
$query = $this->connect()->prepare("UPDATE `log` SET `id` = ? WHERE `id` IN ( {$inPH} );");
最后，执行时传入合并后的参数数组：第一个元素为 $newID，后续元素为解构后的 $changeTheseIDs（使用 PHP 的展开运算符 ...）：
$query->execute([$newID, ...$changeTheseIDs]);
✅ 完整修正后的函数如下：
public function mergeIDs($newID, $changeTheseIDs) {
if (empty($changeTheseIDs)) {
return false; // 避免空 IN 子句语法错误
}
$inPH = implode(',', array_fill(0, count($changeTheseIDs), '?'));
$query = $this->connect()->prepare("UPDATE `log` SET `id` = ? WHERE `id` IN ( {$inPH} )");
return $query->execute([$newID, ...$changeTheseIDs]);
}
⚠️ 注意事项：
-
永远不要拼接原始用户输入到 SQL 字符串中（如
implode(',', $changeTheseIDs)直接插入 SQL），这会引发严重 SQL 注入风险； - 若
$changeTheseIDs可能为空数组，需提前校验并跳过执行，否则IN ()语法非法； - 对于超大数组（如数千项），需考虑 MySQL 的
max_allowed_packet限制及性能影响，此时建议分批处理； - 此方案完全兼容 PDO 的参数类型自动推断（整数数组默认绑定为
PDO::PARAM_INT），无需手动指定类型。
该方法既保持了预处理语句的安全性，又实现了 IN 子句的灵活扩展，是 PDO 动态条件查询的标准实践。
