MySQL预处理语句绑定逗号分隔字符串为WHERE IN条件仅返回首行问题

预处理语句的绑定参数会将传入的内容作为单个完整值处理，你传入的逗号分隔字符串'200,201,202'不会被MySQL解析为多个独立的IN参数：

• 若order_id为数值类型，MySQL会将字符串做隐式类型转换，读取到第一个逗号就停止转换，最终仅用数值200参与匹配，因此只能返回第一条匹配结果
• 若order_id为字符串类型，相当于直接匹配完整字符串'200,201,202'，自然也无法命中多个独立的order_id值

方法1：动态生成对应数量的占位符（推荐） #

将逗号分隔的ID拆分为数组，根据数组长度生成等数量的占位符，再绑定执行。该方法可以命中order_id字段的索引，查询性能更高，同时避免SQL注入风险。
代码示例：

$order_ids = '200,201,202';
$id_array = explode(',', $order_ids);
// 生成 ?,?,? 格式的占位符
$placeholders = implode(',', array_fill(0, count($id_array), '?'));

$stmt = $conn->prepare("
SELECT id FROM `TABLE`
WHERE t.order_id IN ($placeholders)
");

// 直接传入ID数组执行绑定
$stmt->execute($id_array);

while($row = $stmt->fetch()) {
  echo $row['id'];
}

方法2：使用MySQL的FIND_IN_SET函数 #

无需拆分参数，直接通过FIND_IN_SET匹配逗号分隔字符串中的值，写法更简单，但该函数无法命中order_id的索引，仅适合小数据量场景使用。
代码示例：

$stmt = $conn->prepare("
SELECT id FROM `TABLE`
WHERE FIND_IN_SET(t.order_id, :order_ids)
");

$stmt->bindParam(':order_ids', $order_ids);
$stmt->execute();

while($row = $stmt->fetch()) {
  echo $row['id'];
}

注意：禁止直接将ID字符串拼接进SQL语句，会存在SQL注入风险。

内容的提问来源于stack exchange，提问作者Joe S