如何在PreparedStatement的IN子句中传入多个字符串参数？

你的问题出在直接将拼接后的字符串作为单个参数传入，导致PreparedStatement把整个字符串当成IN子句里的单个值，最终生成了('123, 345')这种不符合需求的SQL。下面是两种安全且有效的实现方式：

方法一：动态生成占位符+逐个设置参数 #

这是最通用、兼容性最好的方式，核心思路是根据参数数量生成对应数量的?占位符，再循环为每个占位符设置参数：

import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Arrays;
import java.util.List;

// 假设你有一个账号列表
List<String> accountList = Arrays.asList("123", "345");

// 动态构建SQL的IN子句部分
StringBuilder sqlBuilder = new StringBuilder("select * from account in (");
for (int i = 0; i < accountList.size(); i++) {
    if (i > 0) {
        sqlBuilder.append(", ");
    }
    sqlBuilder.append("?"); // 生成对应数量的占位符
}
sqlBuilder.append(")");

// 创建PreparedStatement并设置参数
PreparedStatement pstmt = connection.prepareStatement(sqlBuilder.toString());
for (int i = 0; i < accountList.size(); i++) {
    pstmt.setString(i + 1, accountList.get(i)); // 逐个设置字符串参数
}

// 执行查询
ResultSet rs = pstmt.executeQuery();

这种方式生成的SQL是select * from account in (?, ?)，执行时会自动替换为('123', '345')，完全符合需求，同时避免了SQL注入风险。

方法二：使用JDBC Array对象（数据库兼容场景） #

如果你的JDBC驱动和目标数据库（如MySQL、Oracle）支持数组参数传递，可以用这种更简洁的方式：

import java.sql.Array;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.util.Arrays;
import java.util.List;

List<String> accountList = Arrays.asList("123", "345");
String sql = "select * from account where account in (?)";

PreparedStatement pstmt = connection.prepareStatement(sql);
// 创建对应类型的数组对象（VARCHAR对应字符串类型）
Array accountArray = connection.createArrayOf("VARCHAR", accountList.toArray());
pstmt.setArray(1, accountArray);

ResultSet rs = pstmt.executeQuery();

注意：不同数据库对这种方式的支持有差异，比如MySQL需要确保驱动版本兼容，部分场景可能需要调整语法，通用性不如方法一。

内容的提问来源于stack exchange，提问作者MANPREET KAUR