如何使用PDO绑定数组实现多地点职位查询？

你担心直接拼接数组到SQL里的安全问题太对了——这种做法确实容易遭SQL注入，必须换成参数绑定的方式。下面给你详细的改写方案，用PDO来实现（因为你提到了bindValue，应该是用PDO）：

第一步：安全获取并处理输入 #

首先得确保拿到的是合法的数组，还要过滤掉空值避免无效的查询：

// 从POST获取地点数组，默认空数组防止报错
$locations = $_POST['location'] ?? [];

// 确保是数组，避免非数组输入导致后续错误
if (!is_array($locations)) {
    $locations = [];
}

// 过滤掉空字符串或纯空白的地点
$locations = array_filter($locations, function($loc) {
    return trim($loc) !== '';
});

第二步：处理空数组的特殊情况 #

如果用户没选任何地点，直接执行IN()会导致SQL语法错误，所以先判断：

if (empty($locations)) {
    // 这里可以返回空结果，或者提示用户选择地点
    $jobs = [];
} else {
    // 下面是正常的查询逻辑
}

第三步：生成占位符并构建SQL #

我们需要为每个地点生成一个独立的占位符，这样才能逐个绑定参数：

// 生成问号占位符（最简单的方式，也可以用命名占位符）
$placeholders = array_fill(0, count($locations), '?');

// 构建包含IN子句的SQL语句
$sql = "SELECT * FROM jobs WHERE location IN (" . implode(', ', $placeholders) . ")";

第四步：绑定参数并执行查询 #

用PDO的prepare和execute来安全执行，这里直接把数组传给execute就行，不用手动循环bindValue：

$stmt = $pdo->prepare($sql);
// 直接把地点数组传给execute，PDO会自动绑定每个值到对应的占位符
$stmt->execute($locations);

// 获取查询结果
$jobs = $stmt->fetchAll(PDO::FETCH_ASSOC);

如果你偏好命名占位符的写法 #

也可以用命名占位符（比如:loc_0、:loc_1），代码稍微繁琐一点，但可读性更好：

$placeholders = [];
foreach ($locations as $key => $loc) {
    $placeholders[] = ":loc_{$key}";
}

$sql = "SELECT * FROM jobs WHERE location IN (" . implode(', ', $placeholders) . ")";
$stmt = $pdo->prepare($sql);

// 循环绑定每个值
foreach ($locations as $key => $loc) {
    $stmt->bindValue(":loc_{$key}", $loc, PDO::PARAM_STR);
}

$stmt->execute();
$jobs = $stmt->fetchAll(PDO::FETCH_ASSOC);

为什么原来的写法不安全？ #

你原来用implode("', '", $locations)拼接字符串的方式，会把用户输入的内容直接插入SQL语句里。比如如果有恶意用户输入'); DROP TABLE jobs; --，你的SQL就会变成：

SELECT * FROM jobs WHERE location IN (''); DROP TABLE jobs; -- ')

这会直接执行删除表的操作，风险极高。而参数绑定会把用户输入当作纯文本处理，不会被解析为SQL命令，彻底避免注入风险。

内容的提问来源于stack exchange，提问作者Magearlik