MySQL中如何通过逗号分隔姓氏列表编写动态SELECT查询？

推荐方案：后端拆分输入+参数化查询（安全高效） #

直接拼接SQL会引发严重的SQL注入风险，必须用参数化查询处理，步骤如下：

1. 后端预处理输入字符串
   将传入的lastNameQuery按逗号拆分，清理每个元素的前后空格，过滤空值（避免无效匹配）。示例代码（Python）：

   lastNameQuery = "Garcia, Smith, Jones"
   # 拆分、清理空值
   cleaned_last_names = [name.strip() for name in lastNameQuery.split(',') if name.strip()]
   

2. 构建参数化SQL

   • 若需精确匹配姓氏，使用IN语句（性能最优）：

     SELECT * FROM employees WHERE lastname IN (?, ?, ?)
     

     将清理后的姓氏数组作为参数传入查询框架（不同语言的参数绑定方式略有差异，比如Java的PreparedStatement、Python的MySQLdb均支持批量参数）。
   • 若需模糊匹配（比如匹配包含关键词的姓氏），构建多LIKE条件用OR连接：

     SELECT * FROM employees WHERE lastname LIKE ? OR lastname LIKE ? OR lastname LIKE ?
     

     后端需将每个姓氏处理为%{name}%格式后作为参数传入（例如%Garcia%）。

备选方案：MySQL内置函数直接处理（不推荐） #

若后端无法预处理输入，可使用MySQL函数拆分逗号字符串，但存在性能低下、注入风险高等问题，仅作应急参考：

SELECT * FROM employees 
WHERE FIND_IN_SET(lastname, REPLACE(TRIM(? ), ' ', '')) > 0

将lastNameQuery作为参数传入，REPLACE用于清除姓氏间的空格，FIND_IN_SET匹配精确的姓氏值。此方案不支持模糊匹配，且仍需注意输入过滤以规避注入。

核心注意事项 #

• 严格禁止直接拼接SQL语句（例如SELECT * FROM employees WHERE lastname IN ('${cleaned_last_names}')），攻击者可通过构造恶意输入执行删表、拖库等高危操作。
• 所有数据库查询必须使用参数化方式，这是防范SQL注入的标准手段。

内容的提问来源于stack exchange，提问作者TorusWithSprinkles