如何在SQL查询中使用逗号分隔列表？表单输入转IN子句问询

当然可以实现，但直接把用户输入的列表拼进SQL语句里绝对要避免——这会带来致命的SQL注入风险！比如用户恶意输入a','b'); DROP TABLE T; --，你的查询直接就变成删表的恶意语句了。下面是几种安全可靠的实现方式：

方法1：参数化查询（最推荐，业界标准） #

把每个列表项作为独立参数传入SQL，彻底杜绝注入风险。给你几个常用编程语言的示例：

Python（以psycopg2为例） #

先拆分用户输入的字符串，再生成对应数量的占位符：

user_input = "a,b,c"
items = user_input.split(',')
# 生成和列表长度匹配的占位符，比如%s,%s,%s
placeholders = ','.join(['%s'] * len(items))
# 执行参数化查询
cursor.execute(f"SELECT col1, col2 FROM T WHERE col3 IN ({placeholders})", items)

Java（JDBC） #

同样拆分后用预编译语句传入参数：

String userInput = "a,b,c";
String[] items = userInput.split(",");
// 生成占位符序列
String placeholders = String.join(",", Collections.nCopies(items.length, "?"));
PreparedStatement stmt = conn.prepareStatement(
    "SELECT col1, col2 FROM T WHERE col3 IN (" + placeholders + ")"
);
// 逐个设置参数
for (int i = 0; i < items.length; i++) {
    stmt.setString(i+1, items[i]);
}
ResultSet rs = stmt.executeQuery();

方法2：数据库内置字符串拆分函数（纯SQL场景适用） #

如果只能在SQL层面处理，可以用数据库自带的函数把逗号分隔字符串转成集合，再关联查询：

PostgreSQL #

用string_to_array或UNNEST实现：

-- 方式1：用ANY匹配数组元素
SELECT col1, col2 
FROM T 
WHERE col3 = ANY(string_to_array('a,b,c', ','));

-- 方式2：用UNNEST拆分成临时表再JOIN
SELECT t.col1, t.col2
FROM T t
JOIN UNNEST(string_to_array('a,b,c', ',')) AS items(val)
ON t.col3 = items.val;

MySQL 8.0+ #

用JSON_TABLE拆分字符串：

SELECT col1, col2
FROM T
JOIN JSON_TABLE(
    CONCAT('["', REPLACE('a,b,c', ',', '","'), '"]'),
    '$[*]' COLUMNS(val VARCHAR(255) PATH '$')
) AS items
ON T.col3 = items.val;

MySQL 5.x（不推荐，性能差） #

旧版本只能勉强用FIND_IN_SET，但这个函数没法利用索引，数据量大时会很慢：

SELECT col1, col2 
FROM T 
WHERE FIND_IN_SET(col3, 'a,b,c') > 0;

重要提醒 #

• 永远优先选择参数化查询，直接拼接用户输入是绝对的禁忌！
• 如果用户输入的项本身可能包含逗号（比如"a,b",c），那得改用其他分隔符，或者让用户用引号包裹带逗号的项，这时候拆分逻辑要做相应调整。

内容的提问来源于stack exchange，提问作者epipko