MySQLi预处理语句WHERE IN多值UPDATE操作语法报错求解

你当前代码报语法错误+后续运行逻辑错误的根源有4个：

• 语法错误直接诱因：bind_param调用时，第一个参数's,s'和后面的$types29之间既没有字符串连接符.，也没有参数分隔符逗号，PHP解析器无法识别语法，直接抛出unexpected '$types29'错误。
• 类型字符串写法错误：bind_param的第一个参数是连续的类型标识字符串，不需要用逗号分隔类型，你写的's,s'本身格式就是错的。
• 变量名拼写错误：你前面定义的更新值变量是$NameResult，绑定参数时误写为$RankerResult，就算语法修正后运行也会报未定义变量错误。
• SQL逻辑冗余：IN子句里硬编码的0完全多余，不仅会导致占位符和绑定参数数量不匹配，还可能意外匹配id=0的无效数据。

// 先校验传入的ID数组合法性，避免空数组导致SQL语法错误
if (!isset($_POST["UpdatedID"]) || !is_array($_POST["UpdatedID"]) || empty($_POST["UpdatedID"])) {
    // 替换为自己的业务错误处理逻辑即可
    die("未选择需要更新的记录");
}

$NameResult = "NameTest";
$NotesResult = "NotesTest";

// 将传入的所有ID转为整数，过滤非法参数
$updatedIds = array_map('intval', $_POST["UpdatedID"]);
$idCount = count($updatedIds);

// 生成IN子句对应的问号占位符
$inPlaceholders = str_repeat('?,', $idCount - 1) . '?';
// 拼接绑定类型串：前两个待更新字段是字符串类型s，后面所有ID是整数类型i，类型字符连续书写不需要加逗号
$bindTypes = 'ss' . str_repeat('i', $idCount);

// 组装SQL语句，不需要额外硬编码0，占位符数量和ID数量完全匹配
$sql = "UPDATE account SET name = ?, notes = ? WHERE id IN ($inPlaceholders)";
$stmt = $mysqli->prepare($sql);

// 组装完整的绑定参数数组：第一个元素为类型串，后续依次对应SQL里的每个占位符
$bindParams = array_merge([$bindTypes, $NameResult, $NotesResult], $updatedIds);
// 解包参数传入bind_param完成绑定
$stmt->bind_param(...$bindParams);

$stmt->execute();
// 如需获取实际更新的行数，可调用affected_rows属性
$affectedRows = $stmt->affected_rows;
$stmt->close();

• bind_param的类型串必须和占位符顺序一一对应：每个字符对应一个绑定参数，禁止在类型字符之间加逗号，比如2个字符串+3个整数的类型串为ssiii，不要写为s,s,i,i,i。
• 绑定参数的顺序必须和SQL中?的出现顺序完全一致：先绑定SET子句的name、notes两个字段值，再绑定IN子句的所有ID值，顺序错乱会导致数据写入异常。
• 必须提前判断ID数组是否为空：如果传入的ID数组为空，生成的IN子句会变成IN ()，属于非法SQL语法，会直接触发数据库错误。
• 不要直接使用前端传入的原始ID值，提前转成整数可以过滤非法参数，避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Martin4523