如何在WHERE IN子句中使用字符串参数？

不能直接使用。因为IN子句要求括号内是多个独立的取值（比如('0001','0002','0003')），而你传入的codes_string是一个完整的字符串，数据库会将其视为单个匹配值，只会查找codes等于'0001,0002,0003'的记录，而非分别匹配每个代码。

解决方法 #

1. 使用数据库内置字符串拆分函数 #

不同数据库提供了内置的拆分函数，将逗号分隔字符串拆分为表结构，再用于IN子句：

SQL Server 示例

CREATE PROCEDURE GetClassCodes
    @codes_string VARCHAR(1000)
AS
BEGIN
    SELECT * 
    FROM class_codes 
    WHERE class_codes.codes IN (
        -- 拆分字符串为单个值，同时去除前后空格
        SELECT LTRIM(RTRIM(value)) 
        FROM STRING_SPLIT(@codes_string, ',')
    )
END

MySQL 示例（递归CTE拆分）

DELIMITER //
CREATE PROCEDURE GetClassCodes(IN codes_string VARCHAR(1000))
BEGIN
    WITH RECURSIVE split_codes AS (
        SELECT 
            SUBSTRING_INDEX(codes_string, ',', 1) AS code,
            SUBSTRING(codes_string, LENGTH(SUBSTRING_INDEX(codes_string, ',', 1)) + 2) AS remaining
        UNION ALL
        SELECT 
            SUBSTRING_INDEX(remaining, ',', 1),
            SUBSTRING(remaining, LENGTH(SUBSTRING_INDEX(remaining, ',', 1)) + 2)
        FROM split_codes
        WHERE remaining != ''
    )
    SELECT * 
    FROM class_codes 
    WHERE class_codes.codes IN (SELECT TRIM(code) FROM split_codes);
END //
DELIMITER ;

PostgreSQL 示例

CREATE OR REPLACE PROCEDURE GetClassCodes(codes_string VARCHAR(1000))
LANGUAGE plpgsql
AS $$
BEGIN
    SELECT * 
    FROM class_codes 
    WHERE class_codes.codes = ANY(STRING_TO_ARRAY(codes_string, ','));
END;
$$;

2. 动态SQL拼接（需防范SQL注入） #

通过拼接SQL语句将字符串拆分为多个参数，但必须注意SQL注入风险，建议配合参数化或值转义：

SQL Server 安全拼接示例

CREATE PROCEDURE GetClassCodes
    @codes_string VARCHAR(1000)
AS
BEGIN
    DECLARE @sql NVARCHAR(MAX);
    -- 先拆分再拼接，避免直接注入风险
    SET @sql = N'SELECT * FROM class_codes WHERE class_codes.codes IN (' + 
                STUFF((
                    SELECT ',''' + LTRIM(RTRIM(value)) + '''' 
                    FROM STRING_SPLIT(@codes_string, ',')
                    FOR XML PATH(''), TYPE
                ).value('.', 'NVARCHAR(MAX)'), 1, 1, '') + 
                N')';
    EXEC sp_executesql @sql;
END;

3. 自定义拆分函数（兼容老版本数据库） #

如果数据库没有内置拆分函数，可以自定义表值函数实现拆分：

SQL Server 自定义拆分函数示例

CREATE FUNCTION dbo.SplitString
(
    @inputString VARCHAR(1000),
    @delimiter CHAR(1)
)
RETURNS @outputTable TABLE (value VARCHAR(100))
AS
BEGIN
    DECLARE @startIndex INT = 1;
    DECLARE @endIndex INT;

    WHILE CHARINDEX(@delimiter, @inputString, @startIndex) > 0
    BEGIN
        SET @endIndex = CHARINDEX(@delimiter, @inputString, @startIndex);
        INSERT INTO @outputTable (value)
        VALUES (LTRIM(RTRIM(SUBSTRING(@inputString, @startIndex, @endIndex - @startIndex))));
        SET @startIndex = @endIndex + 1;
    END

    -- 插入最后一个值
    INSERT INTO @outputTable (value)
    VALUES (LTRIM(RTRIM(SUBSTRING(@inputString, @startIndex, LEN(@inputString) - @startIndex + 1))));
    RETURN;
END;

调用函数的存储过程：

CREATE PROCEDURE GetClassCodes
    @codes_string VARCHAR(1000)
AS
BEGIN
    SELECT * 
    FROM class_codes 
    WHERE class_codes.codes IN (
        SELECT value 
        FROM dbo.SplitString(@codes_string, ',')
    )
END;

注意事项 #

• 处理字符串时建议用LTRIM/RTRIM（或TRIM）去除每个代码的前后空格，避免因空格导致匹配失败；
• 如果代码数量过多，varchar(1000)可能不够用，可考虑调整参数长度为varchar(MAX)或对应数据库的大字符串类型；
• 动态SQL拼接时必须防范注入，优先使用内置拆分函数或参数化查询。

内容的提问来源于stack exchange，提问作者developer