PHP PDO预准备语句中IN数组仅处理首个值的问题排查

我通过PHP程序化创建PDO预准备语句，语句为：UPDATE logSETid= ? WHEREid IN ( ? );。其中第一个占位符为单个整数，第二个占位符对应整数数组，我将其拼接为类似1,2,3的字符串。相关代码如下：

public function mergeIDs($newID,$changeTheseIDs){ // (integer and array of integers, respectively)
    $inSet = implode(',',$changeTheseIDs);
    $query = $this->connect()->prepare("UPDATE `log` SET `id` = ? WHERE `id` IN ( ? );");
    $query->execute([$newID,$changeTheseIDs]);
}

问题在于：SQL仅处理IN数组中的首个整数ID，符合IN数组中任一ID的记录都应被修改，但PDO实现仅将ID为1的记录改为5，而手动在服务器SQL工具执行UPDATE logSETid= 5 WHEREid IN ( 1,2,3 );时，所有ID为1、2、3的记录都能被正常修改，请问该如何解决？

问题核心是你把数组拼接成的字符串当作单个参数传给了IN子句，PDO会将1,2,3识别为单个字符串值，而非多个独立整数。数据库隐式转换时会把'1,2,3'转成整数1，所以只会匹配ID为1的记录。

正确的做法是为数组每个元素生成独立占位符，再统一传参，既保证安全又能实现需求：

public function mergeIDs($newID, $changeTheseIDs) {
    // 根据数组长度生成对应数量的占位符
    $placeholders = implode(',', array_fill(0, count($changeTheseIDs), '?'));
    // 构建包含多个占位符的SQL语句
    $query = $this->connect()->prepare("UPDATE `log` SET `id` = ? WHERE `id` IN ({$placeholders});");
    // 合并参数：第一个是目标ID，后续是需要修改的ID数组元素
    $params = array_merge([$newID], $changeTheseIDs);
    $query->execute($params);
}

额外注意：

• 绝对不要直接把拼接的字符串插入SQL语句，会引发SQL注入风险，始终用占位符处理动态参数。
• 确保$changeTheseIDs中的元素都是整数类型，避免非数值内容导致执行异常。

内容的提问来源于stack exchange，提问作者Parapluie