SQL拆分单单元格查询结果用于另一查询：不良库设计变通方案

针对无法修改数据库Schema的场景，以下提供三种可行思路，适配ColdFusion环境：

1. ColdFusion端预处理后拼接SQL #

先从数据库取出逗号分隔的字符串，在ColdFusion端拆分并格式化为符合IN语法的列表，再拼入查询：

// 假设从数据库获取包含逗号分隔ID的结果集
certQuery = queryExecute("SELECT comma_separated_certs FROM user_certs WHERE user_id = ?", [userId]);
certIdsStr = certQuery.comma_separated_certs[1];

// 生成带引号的ID列表（字符串ID适用），数字ID可直接用list处理
formattedIds = quotedValueList(certIdsStr);

// 执行查询
resultQuery = queryExecute("SELECT full_cert_name FROM tbl_fullofcerts WHERE certid IN (#formattedIds#)");

注意：若ID为数字类型，直接用listQualify(certIdsStr, "'")或拼接纯数字列表即可；必须警惕SQL注入风险，若ID来源不可信，优先使用参数化查询。

2. 数据库端直接处理（依赖数据库类型） #

利用数据库内置函数拆分逗号分隔值，无需ColdFusion端额外处理：

• MySQL/MariaDB：使用FIND_IN_SET函数

  SELECT full_cert_name FROM tbl_fullofcerts 
  WHERE FIND_IN_SET(certid, '#certIdsStr#') > 0
  

• SQL Server 2016+：使用STRING_SPLIT函数

  SELECT full_cert_name FROM tbl_fullofcerts 
  WHERE certid IN (SELECT value FROM STRING_SPLIT('#certIdsStr#', ','))
  

• Oracle：使用正则表达式拆分

  SELECT full_cert_name FROM tbl_fullofcerts 
  WHERE certid IN (
      SELECT REGEXP_SUBSTR('#certIdsStr#', '[^,]+', 1, LEVEL) 
      FROM DUAL 
      CONNECT BY REGEXP_SUBSTR('#certIdsStr#', '[^,]+', 1, LEVEL) IS NOT NULL
  )
  

注意：该方法在数据量大时可能存在性能瓶颈（无法利用certid索引），仅适用于小数据集场景。

3. ColdFusion参数化查询（推荐方案） #

利用ColdFusion的queryExecute参数或<cfqueryparam>标签的list属性，自动处理逗号分隔值，同时彻底规避SQL注入：

// 获取逗号分隔ID字符串
certQuery = queryExecute("SELECT comma_separated_certs FROM user_certs WHERE user_id = ?", [userId]);
certIdsStr = certQuery.comma_separated_certs[1];

// 参数化查询，list="true"自动拆分列表
resultQuery = queryExecute(
    "SELECT full_cert_name FROM tbl_fullofcerts WHERE certid IN (:certIds)",
    {
        certIds: {value: certIdsStr, list: true, cfsqltype: "cf_sql_integer"}
    }
);

此方案兼顾安全性与便捷性，ColdFusion会自动将逗号分隔字符串拆分为多个独立参数，完美适配IN查询，是优先选择的最优方案。

内容的提问来源于stack exchange，提问作者danninta