SQL如何在WHERE子句IN语句中使用传入的缺首尾单引号的变量列表

场景说明：外部传入的@Var1实际值为AA','BB','CC，属于缺失首尾包裹单引号的逗号分隔列表内容，直接在IN子句中写field1 IN @Var1会触发语法错误，且无法实现多值匹配的预期效果。可通过以下两类方案达成等效于field1 IN ('AA','BB','CC')的查询效果。

方案1：数据库内置字符串拆分函数实现（优先选择，无SQL注入风险） #

核心逻辑是把传入的残缺字符串按固定分隔符拆分，生成逐行的匹配值集合，无需手动处理单引号转义，从根源避免拼接语法错误。
不同数据库的适配写法：

• MySQL 8.0+ / MariaDB
  先把残缺字符串转换为标准JSON格式，再通过内置JSON拆分函数生成匹配值：

  -- 将传入值转换为合法JSON数组：AA","BB","CC → ["AA","BB","CC"]
  SET @clean_input = CONCAT('["', REPLACE(@Var1, "','", '","'), '"]');
  -- 匹配逻辑
  SELECT * FROM 表名
  WHERE field1 IN (
    SELECT jt.item 
    FROM JSON_TABLE(
      @clean_input, 
      '$[*]' COLUMNS(item VARCHAR(100) PATH '$')
    ) jt
  );
  

• PostgreSQL
  替换分隔符后用内置数组拆分函数匹配：

  SELECT * FROM 表名
  WHERE field1 = ANY(
    string_to_array(REPLACE(@Var1, ''',''', '|'), '|')
  );
  

• SQL Server 2016+
  替换分隔符后用STRING_SPLIT函数拆分匹配：

  SELECT * FROM 表名
  WHERE field1 IN (
    SELECT value FROM STRING_SPLIT(REPLACE(@Var1, ''',''', '|'), '|')
  );
  

方案2：低版本数据库适用的动态SQL补全方案 #

如果使用的数据库无内置字符串拆分能力，可通过安全的动态SQL补全缺失的首尾单引号，拼出合法的IN子句结构：

1. 对传入的残缺变量做格式补全：将AA','BB','CC拼接为'AA','BB','CC'的合法列表格式
2. 用参数化动态SQL执行查询，避免直接拼接带来的注入风险
   以SQL Server为例的写法：

-- 补全IN子句需要的首尾单引号
DECLARE @in_content VARCHAR(1000) = CONCAT('''', @Var1, '''');
-- 编写参数化动态SQL
DECLARE @sql NVARCHAR(MAX) = N'
  SELECT * FROM 表名
  WHERE field1 IN (' + @in_content + N')
';
-- 执行查询
EXEC sp_executesql @sql;

常见语法问题避坑 #

• 禁止直接写field1 IN (@Var1)：该写法会被SQL解析为匹配单个完整长字符串AA','BB','CC，既触发语法类型报错，也完全达不到多值匹配的效果
• 手动拼接字符串时必须做特殊字符转义，优先选择内置字符串拆分方案，减少手动处理单引号带来的语法错误
• 如果传入的列表值本身包含','序列，需提前和上游传参逻辑确认分隔符冲突，选择无业务含义的特殊字符作为拆分依据

内容的提问来源于stack exchange，提问作者SQL_newbie