如何使用PDO与MySQL IN子句安全处理多复选框选择的表单提交

现有代码的安全性问题 #

你当前的写法完全不安全，存在高危SQL注入漏洞：你直接将用户可控的$_POST['groupid']参数拼接进SQL语句，攻击者可以构造恶意提交的groupid值，执行任意SQL操作，包括数据窃取、数据删除等。

问号占位符实现IN查询的方案 #

PDO预编译本身没有直接支持数组参数的语法，但可以通过动态生成对应数量的问号占位符实现安全查询，步骤如下：

• 首先校验$_POST['groupid']为非空数组，避免异常
• 根据数组长度生成对应个数的问号，用逗号拼接后放入IN从句的括号中
• 将$_POST['groupid']数组作为参数传入execute()方法，PDO会自动完成每个参数的绑定与转义

修正后的完整代码 #

// 校验参数合法性
if (!isset($_POST['groupid']) || !is_array($_POST['groupid']) || empty($_POST['groupid'])) {
    // 自定义无有效参数时的处理逻辑，比如返回空结果/错误提示
    exit('未选择任何分组');
}

// 生成和数组元素数量匹配的问号占位符，例：3个元素生成 ?,?,?
$placeholders = rtrim(str_repeat('?,', count($_POST['groupid'])), ',');

// 拼接预编译SQL
$query = $con->prepare("SELECT custid FROM cus_grps WHERE groupid in ($placeholders) GROUP BY custid");

// 传入参数执行查询
$query->execute($_POST['groupid']);

while ($row = $query->fetch()){ 
    echo $row['custid']; 
}

额外加固建议 #

如果groupid为整数类型，可以对传入的数组元素做强制类型转换，进一步提升安全性：

// 对所有传入的groupid做整数转换，过滤非数字内容
$groupIds = array_map('intval', $_POST['groupid']);
$query->execute($groupIds);

内容的提问来源于stack exchange，提问作者craison