如何将数组传入带多个占位符的PDO预编译语句？

核心错误原因 #

你当前代码里，execute([$Location]) 是把传入的$Location数组作为单个参数传递给第一个占位符?，PDO尝试将数组转换成字符串，因此触发"Array to string conversion"警告。同时，你从表单获取的$_REQUEST本身是外层包含locationreq子数组的数组，需要先提取出正确的子数组。

分步解决方案 #

1. 正确提取表单传入的位置数组
   先从$_REQUEST里取出真正的位置数据数组：

   // 提取表单提交的locationreq子数组
   $locationData = $_REQUEST['locationreq'];
   // 调用方法时传入这个子数组
   $result = $yourObject->getLocationList($locationData);
   

2. 修正PDO预编译语句的执行逻辑
   修改getLocationList方法，直接将传入的数组传递给execute（无需再套一层数组）：

   protected function getLocationList($Location) {
       $sql = "SELECT *
               FROM events
               WHERE City = ?, State = ?, Country = ?";
   
       $stmt = $this->connect()->prepare($sql);
       // 直接传入$Location数组，每个元素对应一个占位符
       $stmt->execute($Location);
   
       $result = $stmt->fetchAll(PDO::FETCH_ASSOC);
       return $result;
   }
   

避坑提醒 #

• 不要使用你找到的preg_replace拼接SQL的方法，这种方式会直接把用户输入拼进SQL语句，完全失去预编译的防SQL注入能力，存在严重安全风险。
• 确保传入getLocationList的$Location是长度为3的一维数组，和SQL里的3个占位符一一对应，否则会出现参数数量不匹配的错误。

内容的提问来源于stack exchange，提问作者randosev