如何实现含数组及前后置参数的MySQL预处理语句绑定

解决方案 #

1. 构造正确的预处理SQL语句

首先需要生成IN子句对应的占位符，拼接完整的预处理语句：

// 生成IN子句的问号占位符，格式为 ?,?,?...
$inPlaceholders = rtrim(str_repeat('?,', count($media_ids)), ',');
$sql = "UPDATE `client_media` SET folder = ? WHERE id IN ($inPlaceholders) LIMIT ?";

2. 兼容所有PHP版本的参数绑定方案

如果使用mysqli扩展，可以通过call_user_func_array动态拼接绑定参数，避开直接解包追加参数的语法限制：

$stmt = $db->prepare($sql);
// 构造类型字符串：s对应folder字符串，n个i对应媒体ID，最后一个i对应LIMIT值
$types = 's' . str_repeat('i', count($media_ids)) . 'i';
// 组装绑定参数数组，必须按引用传值
$bindParams = [$types];
$bindParams[] = &$folder_name;
foreach ($media_ids as &$id) {
    $bindParams[] = &$id;
}
$bindParams[] = &$assetCount;
// 动态调用bind_param
call_user_func_array([$stmt, 'bind_param'], $bindParams);
$stmt->execute();

3. PHP 7.4+简化写法

PHP 7.4及以上版本已经支持在展开运算符后追加额外参数，如果你用该版本执行原有代码报错，优先检查两点：

• $media_ids是否为无字符串键的索引数组
• LIMIT参数$assetCount是否为整数类型
  简化写法如下：

$stmt = $db->prepare($sql);
$types = 's' . str_repeat('i', count($media_ids)) . 'i';
$stmt->bind_param($types, $folder_name, ...$media_ids, $assetCount);
$stmt->execute();

4. 更便捷的替代方案：改用PDO扩展

PDO的参数绑定不需要处理类型字符串和引用传值，直接传入参数数组即可，写法更简洁：

$inPlaceholders = rtrim(str_repeat('?,', count($media_ids)), ',');
$sql = "UPDATE `client_media` SET folder = ? WHERE id IN ($inPlaceholders) LIMIT ?";
$stmt = $pdo->prepare($sql);
// 直接拼接参数数组执行
$stmt->execute(array_merge([$folder_name], $media_ids, [$assetCount]));

内容的提问来源于stack exchange，提问作者FevtheDev