带有包含数组的 in 子句的 PDO 查询将不起作用 [重复]

Question

我有这个代码：

$Array=array();
array_push($Array,"Email1","Email2");
$Array=implode("','",$Array);
$Array="'$Array'";
echo "$Array" //Will output 'Email1','Email2'
$Check=$connection->prepare("SELECT ID FROM USERS WHERE EMAIL IN(:Array)");
$Check->execute(array(
    ':Array' => $Array,
));

这个查询不起作用，但如果我写：

$Check=$connection->prepare("SELECT ID FROM USERS WHERE EMAIL IN('Email1','Email2')");
$Check->execute(array(
    ':Array' => $Array,
));

这可行，但我不会绑定数组以避免 SQL 注入。 我该如何解决？

Answer 1

您不想将内爆列表绑定为一个元素，而是使用 ? 单独绑定每个值，因此语句的结尾将是 WHERE EMAIL IN (?,?)：

$values  = ["Email1","Email2"];
# This should give you ?,?
$bindstr = implode(",",array_fill(0,count($values),'?'));
$query = $connection->prepare("SELECT ID FROM USERS WHERE EMAIL IN({$bindstr})");
# Use the raw values individually in the execute
$query->execute($values);

希望这会得到您正在寻找的结果。