如何将字符串形式的多个变量传入SQL查询语句（无法使用存储过程场景）

嘿，这个问题我太熟悉了——很多刚接触数据库操作的朋友都会在IN子句传参这里踩坑，尤其是直接拼接字符串的雷区！先给你敲个警钟：绝对不要直接把字符串拼进SQL语句里，这会带来致命的SQL注入风险，简直是给数据库安全开门揖盗。下面给你几种安全且实用的解决方案，分场景给你举例：

这是业界标准的做法，几乎所有主流编程语言和数据库驱动都支持参数化查询。核心思路是把动态的ID列表拆成独立参数，让数据库驱动来处理参数绑定，从根源上避免SQL注入。

示例1：Python（pymysql/MySQLdb） #

# 假设你的ID字符串是 "913456,412548,1225"
id_str = "913456,412548,1225"
# 先将字符串拆分为整数列表
id_list = list(map(int, id_str.split(',')))

# 生成和ID数量匹配的占位符（%s是MySQL的占位符，不同数据库可能用?或$1这种）
placeholders = ', '.join(['%s'] * len(id_list))
# 构造查询语句
query = f"SELECT * FROM xxxx WHERE id IN ({placeholders})"

# 执行查询时，直接传入ID列表作为参数
cursor.execute(query, id_list)

示例2：Java（JDBC） #

String idStr = "913456,412548,1225";
// 拆分并转换为整数列表
String[] idArray = idStr.split(",");
List<Integer> idList = Arrays.stream(idArray)
                            .map(Integer::parseInt)
                            .collect(Collectors.toList());

// 生成占位符
String placeholders = String.join(", ", Collections.nCopies(idList.size(), "?"));
String sql = "SELECT * FROM xxxx WHERE id IN (" + placeholders + ")";

// 绑定参数并执行
PreparedStatement pstmt = connection.prepareStatement(sql);
for (int i = 0; i < idList.size(); i++) {
    pstmt.setInt(i + 1, idList.get(i));
}
ResultSet rs = pstmt.executeQuery();

如果因为某些历史限制（比如老旧系统不支持动态参数数量），不得不拼接字符串，那一定要做严格的输入校验，确保所有传入的内容都是合法的ID（比如你的场景里是整数），杜绝任何非法字符混入。

示例：Python应急处理 #

id_str = "913456,412548,1225"
valid_ids = []
for id_part in id_str.split(','):
    cleaned_id = id_part.strip()
    # 严格校验每个元素都是整数
    if not cleaned_id.isdigit():
        raise ValueError(f"非法ID格式：{cleaned_id}")
    valid_ids.append(cleaned_id)

# 拼接成安全的SQL片段
safe_id_str = ', '.join(valid_ids)
query = f"SELECT * FROM xxxx WHERE id IN ({safe_id_str})"

⚠️ 注意：这个方法只有当输入完全由你控制、且能100%确保没有恶意内容时才能用，否则坚决不要碰！

给你举个恐怖的反例：如果有人故意传入的字符串是 "913456); DROP TABLE xxxx; --"，直接拼接后的SQL会变成：

SELECT * FROM xxxx WHERE id IN (913456); DROP TABLE xxxx; -- )

这会直接删除你的xxxx表，后果不堪设想——这就是SQL注入的威力，所以参数化查询才是底线。

内容的提问来源于stack exchange，提问作者Tilen