PHP编写MySQL插入语句时，VALUES部分能否直接使用数组作为参数？

算力阿峰

2026-10-18

问题解答

可以实现，在Laravel框架下还有更安全、适配动态列场景的原生支持，无需手动拼接SQL。

原生PHP手动拼接方案（不推荐生产环境使用）

如果要自己拼接VALUES部分的内容，可以对数组做转义后拼接成字符串，示例代码如下：

// 对数组每个值做SQL转义，避免基础注入风险
$escaped_values = array_map(function($item) use ($mysql_connection) {
    return "'" . mysqli_real_escape_string($mysql_connection, $item) . "'";
}, $my_array);
$values_str = implode(',', $escaped_values);

$query = "INSERT INTO $table_name ($table_columns) VALUES($values_str)";

注意：该方案容错率极低，依然存在SQL注入风险，仅作为原理参考，不要在生产环境使用。

Laravel框架推荐方案（适配CSV导入场景）

Laravel查询构造器原生支持直接传入数组执行插入操作，自动处理参数绑定、SQL拼接，完全适配你动态列、动态值的需求：

单条逐行插入

适合读取CSV逐行处理的场景，直接传入键名对应表列名的一维数组即可：

// 示例数据：$row = ['username' => 'test', 'mobile' => '13xxxxxxxxx']
DB::table($target_table)->insert($row);

批量插入

数据量较大时建议批量插入，降低数据库IO压力，直接传入二维数组即可，每一项对应一行数据：

// 示例数据：$rows = [
//     ['username' => 'test1', 'mobile' => '13xxxxxxxxx'],
//     ['username' => 'test2', 'mobile' => '13xxxxxxxxx']
// ]
DB::table($target_table)->insert($rows);

该方案会自动做参数绑定，完全避免SQL注入风险，无需你手动处理不同表的列数、值数量匹配逻辑，仅需要把CSV每行数据处理为键名对应目标表列名的数组即可通用。