SQL SELECT语句中使用数组变量报“Array to string conversion”错误

我尝试编写SQL语句，从xf_thread表中筛选出thread_id大于指定值且node_id在$node_ids数组中的thread_id，代码如下：

$node_ids = ['13', '14'];
$db = $this->app->db();
return $db->fetchAllColumn($db->limit("
        SELECT thread_id
        FROM xf_thread
        WHERE thread_id > ?
        AND node_id in " . $node_ids . "
        ORDER BY thread_id
    ", $batch
), $start);

运行时触发错误：

Array to string conversion

错误出现在这行代码：

AND node_id in " . $node_ids . "

错误原因 #

直接将数组$node_ids拼接进SQL字符串时，PHP会自动尝试将数组转换为字符串，这一操作不被允许，因此抛出类型转换错误。此外，这种直接拼接的写法存在严重的SQL注入风险，绝对不能使用。

正确解决方案 #

方法1：使用参数绑定（通用安全写法）

通过生成对应数量的占位符，结合参数绑定来处理数组，既避免类型错误，又能防止SQL注入：

$node_ids = ['13', '14'];
$db = $this->app->db();

// 根据数组长度生成占位符，例如2个元素生成"?,?"
$placeholders = implode(',', array_fill(0, count($node_ids), '?'));

$sql = "
    SELECT thread_id
    FROM xf_thread
    WHERE thread_id > ?
    AND node_id IN ($placeholders)
    ORDER BY thread_id
";

// 合并查询参数：第一个是thread_id的阈值，后续是node_id数组元素
$params = array_merge([$start], $node_ids);

return $db->fetchAllColumn($db->limit($sql, $batch), $params);

方法2：利用XenForo框架的查询构建器（适配场景）

如果是基于XenForo框架开发，使用框架自带的whereIn方法可以更简洁安全地实现需求：

$node_ids = ['13', '14'];
$db = $this->app->db();

$stmt = $db->limit(
    $db->select('thread_id')
        ->from('xf_thread')
        ->where('thread_id > ?', $start)
        ->whereIn('node_id', $node_ids)
        ->order('thread_id'),
    $batch
);

return $db->fetchAllColumn($stmt);

内容的提问来源于stack exchange，提问作者Robert Iannicca