如何使用 PHP 中的准备语句使用 implode() 将多个整数插入到 IN 语句中？

Question

语境我有一个供稿系统，用户可以在其中关注我网站上的其他用户并查看他们发布的内容，例如他们创建的线程。为了实现这一点，我使用 AJAX 发送一个数组，其中包含用户关注的人员的所有用户 ID，以便在 SQL 语句中进行查询（我的 DBMS 是 MySQL）。然后，在 PHP 中，我尝试使用语句获取该数组并将其放入 SQL 查询中IN。在这种特定情况下，用户关注了 ID 为 11 和 12 的另外两个人。因此，通过 AJAX 将此数据发送到 PHP 代码后，我可以使用并得到以下结果print_r($_POST['following'])：Array ( [0] => 11 [1] => 12 )为了在我的 SQL 查询中使用它，我使用以下代码：if ($_SERVER['REQUEST_METHOD'] == 'POST') {$q = "SELECT forums.forum_id, forums.forum_title, forums.message, forums.idUsers, forums.box_id, forums.date, forums.seen, users.uidUsers, profileimages.image FROM forums JOIN users JOIN profileimages ON forums.idUsers = users.idUsers AND profileimages.idUsers = users.idUsers WHERE forums.idUsers IN (?) //code in questionORDER BY forums.forum_id DESC LIMIT 5 OFFSET ?";$stmt = mysqli_prepare($conn, $q);mysqli_stmt_bind_param($stmt, 'ii', $followingArray, $offset);$following = $_POST['following'];$followingArray = implode(", ", $following); //code in question$offset = $_POST['offset'];mysqli_stmt_execute($stmt);执行查询后，我获取信息并将其发送回服务器。当我这样做时，会返回五行：[{idUsers: 11, forumId: 11, seen: "false", forumTitle: "sixth random thread",…},…]0: {idUsers: 11, forumId: 11, seen: "false", forumTitle: "sixth random thread",…}1: {idUsers: 11, forumId: 10, seen: "false", forumTitle: "fifth random thread",…}2: {idUsers: 11, forumId: 9, seen: "false", forumTitle: "fourth random thread",…}3: {idUsers: 11, forumId: 8, seen: "false", forumTitle: "third random thread",…}4: {idUsers: 11, forumId: 7, seen: "false", forumTitle: "second random thread",…}这很好，除了这样的事实：它只考虑涉及用户 ID 11 的帖子，而不是同时考虑 11 和 12。如果语句IN包含 ID 为 12 的用户的帖子，那么结果会有所不同。直接进入数据库并手动输入值后再次查询，如下所示：这让我相信我implode()对准备好的语句的实现是不正确的。问题我是否应该对该implode()函数进行一些更改，例如在数组中的每个值周围加上引号，以使其与INMySQL 中的语句一起使用？我尝试过的事情我相信我的implode()函数格式不正确，因此尝试将$followingArray变量从$followingArray = implode("', '", $following);to更改为$followingArray = "'" . implode("', '", $following) . "'";，它只返回 0 行。implode()当尝试将多个值插入 SQL 语句时，如何格式化我的函数以使其正常工作？

Answer 1

你永远不应该自己弄乱引号，因为这会导致 sql 注入的风险。

'此外，在这个特定的示例中，您正在插入数字，但如果您想插入像“O'Connor”这样的字符串，甚至不讨论是否要存储包含和的任意文本，则在一般情况下它将不起作用：准备好的语句会处理所有事情，安全性和引用意大利面条"。

我的建议是首先count输入您要查询的 id 编号，然后?在IN子句中添加这些编号，如下所示

$idCount = //count ids

$questmarks = array_fill(0, $idCount, "?");

$sql .= "IN(".implode(",", $questmarks).")";

如果你有 5 个 id 要查询，准备好的 SQL 字符串将如下所示：

SELECT ...

WHERE 

AND id IN (?,?,?,?,?)

LIMIT ?

然后按顺序绑定所有参数。

$params = [$id1,$id2,$id3,$id4,$id5,$offset];

mysqli_stmt_bind_param($stmt, "ii", ...$params);

Answer 2

$followingArray = "'" . implode("','", $following) . "'";