IN子句不能直接绑定数组，必须动态生成占位符：根据数组长度拼出等长的“?, ?, ?”字符串，并将原数组转为[]interface{}后用...展开传参，同时需主动处理空数组（退化为WHERE 1=0）和超长列表（如>500项分批）。
IN子句不能直接绑定数组，必须动态生成占位符
几乎所有主流数据库驱动（mysql2、pg、psycopg2、database/sql）都不支持把一个数组直接绑到单个 ? 或 $1 上。写成 WHERE id IN (?) 并传入 [1, 2, 3]，结果不是匹配三个值，而是把整个数组当做一个字符串或字面量处理——MySQL 会查 id = '1,2,3'，PostgreSQL 可能报错 operator does not exist: integer = text。
正确路径只有一条：根据数组长度，拼出等长的占位符串，再一一绑定值。
-
Array(ids.length).fill('?').join(',')是最安全的生成方式，不含用户数据，纯静态字符 - 不要用
ids.map(() => '?').join(',')，语义上容易误读为“在遍历输入” - 占位符字符串拼完后，SQL 模板里直接插进去，如
WHERE id IN (${placeholders}) - 执行时把原始数组原样传入参数列表，由驱动自动展开绑定
空数组和超长列表必须主动拦截，不能依赖报错兜底
这两个边界情况线上炸过太多次：空数组导致 IN () 语法错误；超长列表触发 PostgreSQL 的 65535 参数上限、MySQL 的 max_allowed_packet 或 SQLite 的 999 项硬限制。
- 空数组一律退化为
WHERE 1=0，语义清晰且兼容所有方言 - 超过阈值（比如 500）必须分批查询，而不是等驱动抛异常再处理
- 别信 ORM 的
whereIn()自动处理——Django 遇空数组抛EmptyResultSet，Knex 静默返回空，Drizzle 在 SQLite 下 >999 直接 panic - 分批逻辑要放在业务层，不要塞进 DAO 或查询构建器里
表名/列名动态拼接？escapeId() 不是万能解，白名单优先
IN 子句里的值可以靠占位符保护，但如果你的查询本身要动态切表（如按月分表 logs_202608）或选字段（如用户传 sort_by），? 和 escapeId() 就不够用了。
-
escapeId()（Node.jsmysql2）或quote_ident()（PostgreSQL）能防基础注入，但挡不住user`; DROP TABLE logs; --这类绕过 - 真正可靠的是白名单校验：
if (!['created_at', 'updated_at', 'status'].includes(sortBy)) throw new Error('invalid sort field') - 表名更敏感，建议从配置或枚举里取，而非任何用户输入
- 如果非得拼接，
escapeId()是最后一道防线，但绝不能替代校验
Go 和 Python 的参数展开写法差异容易踩坑
Go 的 database/sql 要求参数以 []interface{} 形式传入，并用 ... 展开；Python 的 psycopg2 或 sqlite3 则接受元组或列表，但类型必须严格匹配。
- Go 示例：
args := make([]interface{}, len(ids)); for i, v := range ids { args[i] = v }; db.Query(sql, args...) - Python 示例：
cur.execute("WHERE id IN %s", (tuple(ids),))—— 注意 PostgreSQL 的%s占位符需配合tuple()，而 MySQL 用%s绑定单值、?才支持动态占位符 - 别在 Go 里漏掉
...，否则传的是切片地址，驱动收不到值 - Python 用
psycopg2时，ANY(%s)可替代IN，但仅限 PostgreSQL，跨库项目慎用
