如何将mysqli查询获取的$followers转为MySQL IN子句格式？

首先得明确：从你的第一个查询来看，$followers应该是一个逗号分隔的用户ID字符串（比如"1,5,7,2"），否则IN子句就没意义了。如果你的原查询返回的不是这种格式，建议先调整第一个查询，用GROUP_CONCAT把多个following值合并成逗号分隔的字符串：

$stmt = $mysqli->prepare("select GROUP_CONCAT(following SEPARATOR ',') as followers from following where user =? and block=0");
$stmt->bind_param('i', $user);
$stmt->execute();
$stmt->bind_result($followers);
$stmt->fetch();
$stmt->close();

接下来，要把这个字符串转换成IN子句能识别的格式，优先推荐安全的参数绑定方案（避免SQL注入），具体做法如下：

方案一：安全的参数绑定（强烈推荐） #

这种方式完全遵循Prepared Statement的安全规范，不会有注入风险：

• 先把逗号分隔的字符串拆成ID数组
• 根据数组长度生成对应数量的占位符（?）
• 批量绑定参数并执行查询

if (!empty($followers)) {
    // 拆分字符串为ID数组
    $idList = explode(',', $followers);
    // 生成和数组长度匹配的占位符，比如四个ID就生成 "?,?,?,?"
    $placeholders = implode(',', array_fill(0, count($idList), '?'));
    
    // 准备带占位符的查询语句
    $stmt = $mysqli->prepare("select ... from ... where (p.user in ($placeholders))");
    
    // 生成参数类型字符串：所有ID都是整数，所以用对应数量的 'i'
    $paramTypes = str_repeat('i', count($idList));
    
    // 批量绑定参数（因为bind_param不直接支持数组，所以用call_user_func_array）
    call_user_func_array([$stmt, 'bind_param'], array_merge([$paramTypes], $idList));
    
    // 执行并处理结果
    $stmt->execute();
    // 这里可以继续绑定结果、获取数据...
    $stmt->close();
} else {
    // 处理$followers为空的情况，比如返回空结果或者调整查询逻辑
}

方案二：直接拼接字符串（不推荐，有安全风险） #

如果你能100%保证$followers里只有合法的整数（比如数据来源完全可控，没有用户输入），可以直接把它放到IN子句的括号里：

if (!empty($followers)) {
    $stmt = $mysqli->prepare("select ... from ... where (p.user in ($followers))");
    $stmt->execute();
    // 后续处理结果...
    $stmt->close();
}

⚠️ 注意：这种方式存在SQL注入风险，如果$followers被恶意篡改（比如插入1); DROP TABLE users;--这类内容），会导致严重的数据库安全问题，所以除非你完全确定变量的安全性，否则不要用。

内容的提问来源于stack exchange，提问作者RGS