PHP SQL使用简单数组时报错的原因排查

错误原因 #

你拼接生成的SQL语句中，IN子括号内的字符串值没有添加单引号，MySQL会将bionic、user54识别为列名而非agent列的取值，因此触发“Unknown column 'bionic' in 'where clause'”错误。而单独使用agent='bionic'能正常查询，是因为这里给字符串值加了单引号，MySQL可以正确识别这是agent列的目标值。

拼接后的错误SQL是：

SELECT * FROM tbl_product WHERE status='winning' AND agent IN (bionic,user54);

正确的格式应该是给每个字符串值加单引号：

SELECT * FROM tbl_product WHERE status='winning' AND agent IN ('bionic','user54');

解决方法 #

方法1：手动给数组元素添加单引号（需注意SQL注入风险） #

先对数组中的每个元素添加单引号，同时转义特殊字符避免注入：

$plays = array("bionic","user54");
// 给每个元素加单引号并转义
$quoted_plays = array_map(function($val) use ($conn) {
    return "'" . mysqli_real_escape_string($conn, $val) . "'";
}, $plays);
$sql = "SELECT * FROM tbl_product WHERE status='winning' AND agent IN (" . implode(",", $quoted_plays) . ");";

方法2：使用预处理语句（推荐，安全防注入） #

用预处理语句绑定参数，从根源避免SQL注入问题，同时自动处理字符串格式：

$plays = array("bionic","user54");
// 生成对应数量的占位符（?）
$placeholders = implode(',', array_fill(0, count($plays), '?'));
$sql = "SELECT * FROM tbl_product WHERE status='winning' AND agent IN ($placeholders);";

// 以mysqli为例执行预处理
$stmt = mysqli_prepare($conn, $sql);
// 绑定参数，str_repeat('s', count($plays))生成对应数量的字符串类型标识
mysqli_stmt_bind_param($stmt, str_repeat('s', count($plays)), ...$plays);
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
// 获取查询结果
$products = mysqli_fetch_all($result, MYSQLI_ASSOC);

内容的提问来源于stack exchange，提问作者nightowl