不能用单个绑定参数传入逗号拼接的字符串，因为PDO和Laravel预处理机制仅将占位符视为单个值，传入['1,2,3']会导致WHERE id IN ('1,2,3')，即匹配字符串而非三个整数，易出错或引发SQL注入。
为什么不能用单个绑定参数传入逗号拼接的字符串
因为 PDO 和 Laravel 的预处理机制只把占位符（如 :ids 或 ?）当作**单个值**处理。当你写 WHERE id IN (:ids) 并传入 ['1,2,3']，数据库收到的是 WHERE id IN ('1,2,3') —— 即匹配一个字符串值，而非三个整数。结果要么 0 条，要么意外命中某条 id 字段恰好存了字符串 "1,2,3" 的脏数据。
Laravel 中应直接用 whereIn()，别碰原生 SQL
框架封装的 whereIn() 会自动把数组展开成对应数量的问号占位符，并逐个绑定，既安全又跨库兼容：
$ids = [6, 7, 8, 9];
$result = DB::table('users')
->whereIn('id', $ids)
->where('status', 'active')
->get();
注意以下几点：
-
$ids必须是数值索引数组（[6,7,8,9]），不能是关联数组（['a'=>6,'b'=>7]） - 若
$ids为空数组，Laravel 9+ 默认返回空集合；旧版本可能报错，建议提前判断：if (!empty($ids)) { ... } - 类型会被保留：整数保持为整数，字符串保持为字符串，不会被强制转成字符串再比较
原生 PDO 中必须动态生成占位符，不能偷懒
如果非要用原生 PDO（比如集成遗留代码或特殊驱动），IN 子句的占位符数量必须和参数数量严格一致。不能靠 bindValue(':ids', implode(',', $ids)) —— 这又掉进第一个坑里了。
立即学习“PHP免费学习笔记（深入）”；
正确做法是用 str_repeat() 拼出占位符串，再用 array_fill() 构造参数数组：
$ids = [6, 7, 8, 9];
$placeholders = str_repeat('?,', count($ids) - 1) . '?';
$stmt = $pdo->prepare("SELECT * FROM users WHERE id IN ($placeholders) AND status = ?");
$params = array_merge($ids, ['active']);
$stmt->execute($params);
关键点：
- 占位符数量必须等于
$ids长度，多一个少一个都会导致PDOException - 参数数组顺序要和 SQL 中占位符顺序完全一致
- 不要尝试复用同一个命名参数（如
:id）多次 —— PDO 不允许
LIKE 查询里列名不能绑定，但 IN 查询里值也不能“假装”能绑定
就像你不能写 WHERE :column LIKE ? 一样，你也绝不能假设 WHERE id IN (:ids) 能自动展开数组。两者本质相同：PDO 占位符只替换**标量值**，不解析语法结构。把数组当字符串传进去，不是“简化”，而是绕过预处理机制，亲手打开 SQL 注入和逻辑错误的门。
最易被忽略的一点：当 $ids 来自用户输入（如 URL 参数 explode）、且未过滤时，即使用了 whereIn()，也要先做类型校验 —— array_filter($ids, 'is_numeric') 或强转 array_map('intval', $ids)，否则空字符串、负数、科学计数法等边缘值可能引发意外行为或隐式转换漏洞。
