如何在SQL IN子句后使用字符串变量实现查询？

你遇到的这个问题很典型——直接用引号包裹idList拼接SQL语句时，数据库会把整个(1,3,5,7,9)当成单个字符串值，而不是IN子句需要的数字列表，自然查不到匹配的记录。下面给你两种可行的解决思路：

方法一：参数化查询（推荐，安全防注入） #

这是处理这类问题的最佳实践，既能保证SQL语句的正确性，又能彻底避免SQL注入风险。具体步骤如下：

1. 先把idList字符串转换成纯数字数组
2. 生成与数组长度匹配的占位符（?）
3. 用参数化方式执行查询

代码示例：

// 处理idList，去除括号并分割成数字数组
const idArray = idList.replace(/[()]/g, '').split(',').map(Number);
// 生成对应数量的占位符字符串，比如"?, ?, ?, ?, ?"
const placeholders = idArray.map(() => '?').join(',');
// 执行参数化查询
db.all(`SELECT * FROM photoTags WHERE idNum IN (${placeholders})`, idArray, dataCallback);

方法二：直接拼接字符串（不推荐，有注入风险） #

如果你的idList是完全可信的（比如来自内部逻辑，而非用户输入），可以直接把它拼进SQL语句里，不要加引号——因为你的idList本身已经是符合IN子句格式的括号加数字列表了。

代码示例：

db.all(`SELECT * FROM photoTags WHERE idNum IN ${idList}`, dataCallback);

注意：这种方式如果idList包含不可信内容，会存在SQL注入的安全隐患，所以只建议在完全可控的场景下使用。

内容的提问来源于stack exchange，提问作者Yiwei Zhuang