如何在PHP中从数组生成SQL查询？含代码示例求助

当然可以实现你的需求！不过首先得划个重点：绝对不要直接把数组元素未经处理就拼接到SQL语句里，这会导致严重的SQL注入漏洞，威胁你的数据库安全。下面我给你推荐两种安全的实现方式：

一、推荐：使用预处理语句（最佳实践） #

预处理语句是PHP操作数据库的标准安全做法，它会把SQL逻辑和数据分开处理，从根源上避免注入风险。而且用IN替代多个OR，逻辑等价的同时写法更简洁。

1. PDO 实现示例 #

假设你已经通过PDO完成了数据库连接：

$myString = "Food,FastFood,Chinese";
$myArray = explode(',', $myString);

// 生成对应数量的命名占位符，比如:cat0, :cat1, :cat2
$placeholders = implode(', ', array_map(function($index) {
    return ":cat{$index}";
}, array_keys($myArray)));

// 构造SQL语句
$sql = "SELECT * FROM table WHERE FoodCategories IN ($placeholders)";

// 准备预处理语句
$stmt = $pdo->prepare($sql);

// 绑定每个数组元素到对应占位符
foreach ($myArray as $index => $value) {
    $stmt->bindValue(":cat{$index}", $value);
}

// 执行查询并获取结果
$stmt->execute();
$results = $stmt->fetchAll(PDO::FETCH_ASSOC);

2. MySQLi 实现示例 #

如果你使用的是MySQLi扩展：

$myString = "Food,FastFood,Chinese";
$myArray = explode(',', $myString);

// 生成与数组长度匹配的?占位符
$placeholders = implode(', ', array_fill(0, count($myArray), '?'));

// 构造SQL语句
$sql = "SELECT * FROM table WHERE FoodCategories IN ($placeholders)";

// 准备预处理语句
$stmt = $mysqli->prepare($sql);

// 绑定参数：先构造类型字符串（全部为字符串类型，用's'），再传入数组元素
$types = str_repeat('s', count($myArray));
$stmt->bind_param($types, ...$myArray); // PHP 5.6+ 支持展开运算符

// 执行查询并获取结果
$stmt->execute();
$result = $stmt->get_result();
$results = $result->fetch_all(MYSQLI_ASSOC);

二、如果必须直接拼接字符串（不推荐） #

如果因为项目限制必须直接拼接SQL，一定要对每个数组元素进行严格的转义处理，尽可能降低注入风险：

$myString = "Food,FastFood,Chinese";
$myArray = explode(',', $myString);

// 用MySQLi的转义方法处理每个元素
$escapedArray = array_map(function($value) use ($mysqli) {
    return $mysqli->real_escape_string($value);
}, $myArray);

// 把转义后的元素用单引号包裹，再拼接成OR条件
$conditions = implode(' OR FoodCategories = ', array_map(function($value) {
    return "'{$value}'";
}, $escapedArray));

// 构造最终SQL语句
$sql = "SELECT * FROM table WHERE FoodCategories = {$conditions}";

⚠️ 注意：这种方法的安全性远不如预处理语句，仅建议在旧项目临时过渡时使用。

内容的提问来源于stack exchange，提问作者Majid Ali