Collectors.joining()不能直接拼SQL IN条件，因其生成的字符串如"1, 2, 3"或"a, b, c"缺少单引号、未处理NULL、存在SQL注入风险且违反语法；正确做法是先对字符串元素手动加引号并转义，再joining，或优先使用PreparedStatement绑定参数。
为什么 Collectors.joining() 不能直接拼 SQL 的 IN 条件
直接用 list.stream().map(Object::toString).collect(Collectors.joining(", ")) 拼出来的字符串，比如 "1, 2, 3" 或 "a, b, c"，放进 SQL 的 IN 子句里会报错——数字可能没问题，但字符串缺少单引号，而 NULL、特殊字符、SQL 注入风险更会让它彻底不可用。
关键不是“能不能连”，而是“连出来的东西是否安全、可执行、符合语法”。
正确做法：先转成带引号的字符串再 joining()
对字符串类型数据，必须手动包裹单引号；对数字或枚举等可信任类型，可跳过引号，但要统一处理逻辑。推荐按元素类型分情况：
- 字符串值 → 用
s -> "'" + s.replace("'", "''") + "'"（简单转义，适用于 SQLite/SQL Server；PostgreSQL 用quote_literal更稳妥） - 整数/长整型 → 直接
String::valueOf，不加引号 - 避免混用：不要把
String和Integer放进同一个 list 再统一 map，类型模糊会导致引号逻辑混乱
示例（安全拼接字符串 ID 列表）：
List<String> ids = Arrays.asList("admin", "user-1", "test's");
String inClause = ids.stream()
.map(s -> "'" + s.replace("'", "''") + "'")
.collect(Collectors.joining(", "));
// 结果：'admin', 'user-1', 'test''s'
遇到 NULL 怎么办？IN 本身不支持 NULL 比较
SQL 中 column IN (NULL) 永远为 UNKNOWN，即查不到任何结果。所以 Java 侧必须提前过滤：
- 显式调用
.filter(Objects::nonNull)，否则map阶段遇到null会抛NullPointerException - 如果业务上真需要表达 “是 NULL”，得单独写
OR column IS NULL，不能塞进IN里 - 空集合要兜底：若
ids.isEmpty()，整个WHERE ... IN (...)应退化为WHERE 1=0或跳过该条件，否则 SQL 语法错误
更健壮的替代方案：用 PreparedStatement 绑定参数
Collectors.joining() 拼字符串本质是字符串拼接，绕过了预编译，无法防止注入，也不适配所有数据库（如 Oracle 限制 IN 最多 1000 项）。真正生产环境应优先考虑：
- 拆成多个批次（每批 ≤ 999 项），循环执行带
PreparedStatement的查询 - 用 MyBatis 等框架的
<foreach></foreach>标签，它内部会做参数绑定和长度切分 - 对超大集合，改用临时表 +
JOIN，而非巨长IN
手写拼接只适合配置项、固定枚举、或调试场景；一旦数据来自用户输入或外部系统，joining() 就是定时炸弹。
最常被忽略的一点：不同数据库对 IN 参数数量的硬限制不同，拼完字符串后不校验长度，上线就触发 ORA-01795 或 MySQL 的 max_allowed_packet 截断。
