当传入参数为空时，如何使用IN子句返回表中全部记录？

首先纠正一个常见误区：直接把逗号拼接的字符串'1,2,3'放到IN()里无法实现多值匹配，SQL会把整个字符串识别为单个值，不会自动拆分，所以需要先解决参数拆分逻辑，再叠加空参数返回全表的判断。

推荐实现方案 #

方案1：内置函数+短路判断（写法简单，无注入风险） #

核心逻辑是增加@IdNegative 为空的短路判断，参数为空时直接跳过ID匹配条件返回全表，非空时用数据库内置函数拆分字符串后匹配，不同数据库的写法差异如下：

• MySQL 版本

SELECT *
FROM Negative
WHERE 
  -- 参数为空时直接返回全部
  (@IdNegative IS NULL OR TRIM(@IdNegative) = '')
  OR
  -- 非空时匹配逗号分隔列表中的ID
  FIND_IN_SET(IdNegative, @IdNegative) > 0;

• SQL Server 2016及以上版本

SELECT *
FROM Negative
WHERE 
  (@IdNegative IS NULL OR TRIM(@IdNegative) = '')
  OR
  IdNegative IN (SELECT value FROM STRING_SPLIT(@IdNegative, ','))

• PostgreSQL 版本

SELECT *
FROM Negative
WHERE 
  (@IdNegative IS NULL OR TRIM(@IdNegative) = '')
  OR
  IdNegative = ANY(string_to_array(@IdNegative, ',')::INT[])

方案2：动态SQL（性能更优，适配大数据量表） #

如果数据量较大，担心短路判断无法走ID索引，可以用动态SQL拼接的方式，参数为空时直接不加WHERE条件：

-- 以SQL Server为例，其他数据库语法类似
DECLARE @sql NVARCHAR(MAX) = 'SELECT * FROM Negative'
IF @IdNegative IS NOT NULL AND TRIM(@IdNegative) != ''
BEGIN
  SET @sql = @sql + ' WHERE IdNegative IN (' + @IdNegative + ')'
END
EXEC sp_executesql @sql

注意：动态SQL存在SQL注入风险，如果参数来自用户输入，必须做好参数校验或者改用参数化动态拼接的写法，避免安全问题。

注意要点 #

• 如果参数可能存在多余空格，比如'1, 2, 3'，建议提前做去空格处理，或者在SQL中用TRIM函数处理参数
• 数据量超过10万的场景优先选用动态SQL方案，短路判断的写法在部分数据库中无法命中ID索引，查询效率更低

内容的提问来源于stack exchange，提问作者GabrielH