Node.js中SQL IN运算符传参报错：Unknown column 'c1' in 'where clause'问题求助

嗨，这个问题我之前也碰到过！核心问题就是你直接用toString()转数组的时候，没给每个元素加上引号，数据库把c1、c2当成列名而非字符串值，所以才抛出Unknown column 'c1' in 'where clause'这个错误。下面给你几种靠谱的解决办法，优先推荐参数化查询（最安全，还能避免SQL注入）：

不管你用的是Node.js的mysql/mysql2、Java的JDBC、Python的SQLAlchemy还是其他语言的数据库驱动，参数化查询都是处理这类问题的最佳实践。它会自动帮你处理字符串引号和特殊字符转义，完全不用你手动拼接。

举几个常见语言的例子：

Node.js + mysql2 示例 #

const categories = category.split(','); // 得到 ['c1', 'c2']
const sql = 'SELECT * FROM employee emp WHERE emp.category IN (?) ORDER BY ...';
// 直接把数组作为参数传入，驱动会自动处理每个元素的引号
connection.query(sql, [categories], (err, results) => {
  // 处理查询结果
});

Java JDBC 示例 #

String[] categories = category.split(","); // 得到 ["c1", "c2"]
// 先拼接出对应数量的占位符?
String placeholders = String.join(", ", Collections.nCopies(categories.length, "?"));
String sql = "SELECT * FROM employee emp WHERE emp.category IN (" + placeholders + ") ORDER BY ...";

PreparedStatement pstmt = connection.prepareStatement(sql);
// 逐个设置参数
for (int i = 0; i < categories.length; i++) {
  pstmt.setString(i + 1, categories[i]);
}
ResultSet rs = pstmt.executeQuery();

如果因为某些限制必须手动拼接SQL字符串，那你得给每个数组元素加上单引号，还要转义元素里可能存在的单引号（比如元素是O'Neil的话，要转成O''Neil）。

以JavaScript为例：

// 给每个元素加单引号，同时转义内部的单引号
const formattedCategories = category.split(',').map(item => {
  const escapedItem = item.replace(/'/g, "''");
  return `'${escapedItem}'`;
}).join(',');
// 此时formattedCategories的值是 'c1','c2'

const sql = `SELECT * FROM employee emp WHERE emp.category IN (${formattedCategories}) ORDER BY ...`;

⚠️ 注意：这种方式非常危险，如果传入的category包含恶意内容（比如c1','; DROP TABLE employee; --），拼接后的SQL会变成恶意执行语句，直接删表都有可能！所以除非万不得已，千万别用这种方法。

数组的toString()方法只是简单地把元素用逗号分隔，不会添加任何引号，所以['c1','c2'].toString()得到的是c1,c2，传到SQL里就变成IN (c1,c2)——数据库会把c1和c2当成列名来解析，自然就报“找不到列”的错误啦。

内容的提问来源于stack exchange，提问作者K P