如何对含IN子句的原生SQL查询参数化以避免SQL注入？

你的当前实现存在严重的SQL注入风险——直接把$Misc1Filter这类变量拼接进SQL语句里，相当于完全信任输入内容，一旦有恶意输入（比如'1'); DROP TABLE Users; --），会直接执行破坏性操作。针对IN子句的参数化，我们需要用动态生成占位符的方式来处理，下面是具体的修复方案：

问题分析 #

你现在的代码直接拼接带引号的字符串到IN子句中，比如：

$query .= " AND ( u.MISC IN ( " . $Misc1Filter . ")) ";

这种方式完全跳过了参数绑定的安全机制，哪怕输入是内部生成的，也可能因为格式错误或意外篡改导致SQL语法错误，更不用说注入风险。

正确的参数化实现 #

我们需要把IN子句中的每个值都作为独立的参数绑定，步骤如下：

1. 将传入的带引号的字符串转换为干净的值数组
2. 为每个值生成唯一的参数占位符（比如:misc1_0、:misc1_1）
3. 将占位符拼入SQL，同时把值加入参数数组
4. 利用Doctrine的参数绑定机制自动处理类型和转义

修改后的完整代码 #

$query = "Select u.MISC, u.Misc_02, u.Misc_03 from Users u where u.token =:token";
$paramArray = ['token' => 'abc'];

// 处理$Misc1Filter
if ($Misc1Filter !== null) {
    // 清理输入：去掉单引号，按逗号分割，过滤空值
    $misc1Values = explode(',', str_replace("'", "", $Misc1Filter));
    $misc1Values = array_filter($misc1Values, fn($val) => trim($val) !== '');
    
    if (!empty($misc1Values)) {
        $placeholders = [];
        foreach ($misc1Values as $index => $val) {
            $paramKey = "misc1_{$index}";
            $placeholders[] = ":{$paramKey}";
            $paramArray[$paramKey] = trim($val);
        }
        $query .= " AND u.MISC IN (" . implode(', ', $placeholders) . ")";
    }
}

// 处理$Misc2Filter
if ($Misc2Filter !== null) {
    $misc2Values = explode(',', str_replace("'", "", $Misc2Filter));
    $misc2Values = array_filter($misc2Values, fn($val) => trim($val) !== '');
    
    if (!empty($misc2Values)) {
        $placeholders = [];
        foreach ($misc2Values as $index => $val) {
            $paramKey = "misc2_{$index}";
            $placeholders[] = ":{$paramKey}";
            $paramArray[$paramKey] = trim($val);
        }
        $query .= " AND u.Misc_02 IN (" . implode(', ', $placeholders) . ")";
    }
}

// 处理$Misc3Filter
if ($Misc3Filter !== null) {
    $misc3Values = explode(',', str_replace("'", "", $Misc3Filter));
    $misc3Values = array_filter($misc3Values, fn($val) => trim($val) !== '');
    
    if (!empty($misc3Values)) {
        $placeholders = [];
        foreach ($misc3Values as $index => $val) {
            $paramKey = "misc3_{$index}";
            $placeholders[] = ":{$paramKey}";
            $paramArray[$paramKey] = trim($val);
        }
        $query .= " AND u.Misc_03 IN (" . implode(', ', $placeholders) . ")";
    }
}

$result = parent::rawToParameterized($query, $paramArray);
return $result;

优化rawToParameterized方法 #

Doctrine的Connection提供了executeQuery方法，可以直接传入参数数组，无需手动循环绑定，简化代码：

public function rawToParameterized($sql, $params, $fetchResult = true) {
    $conn = $this->getEntityManager()->getConnection();
    $stmt = $conn->executeQuery($sql, $params);
    
    if ($fetchResult) {
        return $stmt->fetchAll();
    }
}

额外优化建议 #

如果上游系统可以直接传递数组类型的过滤条件（比如$Misc1Filter = ['112211','222211']），那我们可以省去字符串解析的步骤，代码更简洁安全：

if ($Misc1Filter !== null && is_array($Misc1Filter) && !empty($Misc1Filter)) {
    $placeholders = [];
    foreach ($Misc1Filter as $index => $val) {
        $paramKey = "misc1_{$index}";
        $placeholders[] = ":{$paramKey}";
        $paramArray[$paramKey] = $val;
    }
    $query .= " AND u.MISC IN (" . implode(', ', $placeholders) . ")";
}

核心原理 #

通过为IN子句中的每个值创建独立的参数占位符，Doctrine会自动处理值的类型转换（字符串自动加引号、数字保持原样），同时完全避免SQL注入——因为参数值永远不会被解析为SQL语句的一部分，只是作为数据传递给数据库。

内容的提问来源于stack exchange，提问作者Abdul Ghaffar