使用PHP如何将数组转换为SQL查询可用的带单引号逗号分隔字符串

错误写法问题说明 #

• 第一种实现仅拼接了纯字符串，没有对每个值包裹单引号，不符合SQL IN语法要求
• 第二种实现错误将字符串类型的变量传入仅支持数组的implode()方法，同时没有处理字符串转义和末尾多余逗号，导致出现转义斜杠和多余字符

可行实现方案 #

方案1：array_map + implode 简洁实现（开发快速用） #

先对数组每个元素包裹单引号并做基础转义，再用逗号拼接，代码如下：

// 提取uuid数组，可用array_column简化原循环写法
$uuids = array_column($data, 'uuid');

// 处理后生成符合要求的SQL字符串
$uuidSqlStr = implode(',', array_map(function($item) {
    // addslashes基础转义，避免值内的单引号导致SQL语法错误
    return "'" . addslashes($item) . "'";
}, $uuids));

输出结果直接符合要求：'123-asdf','122-asfdsa','2323-aewrq'

方案2：循环拼接修正版 #

如果习惯用循环写法，修正后代码如下：

$uuidSqlStr = '';
foreach ($data as $item) {
    $uuidSqlStr .= "'" . addslashes($item->uuid) . "',";
}
// 移除末尾多余的逗号
$uuidSqlStr = rtrim($uuidSqlStr, ',');

生产环境安全方案（避免SQL注入） #

上述直接拼接字符串的方式存在SQL注入风险，生产环境推荐使用数据库预处理语句实现IN查询，PDO示例如下：

// 提取uuid数组
$uuids = array_column($data, 'uuid');
// 生成对应数量的预处理占位符
$placeholders = rtrim(str_repeat('?,', count($uuids)), ',');
// 组装预处理SQL
$sql = "SELECT * FROM 你的表名 WHERE uuid IN ($placeholders)";
// 执行查询
$stmt = $pdo->prepare($sql);
$stmt->execute($uuids);
$result = $stmt->fetchAll(PDO::FETCH_ASSOC);

内容的提问来源于stack exchange，提问作者Peter Ayello Wright