php - PDO bindParam 破坏 mySQL 查询

Question

我有一个 mySQL 语句，如下所示:

SELECT *
FROM `events_table`
WHERE `event_category` NOT IN (:category_ids)

我使用bindParam将$category_ids绑定(bind)到:category_ids。

category_id 是一系列逗号分隔的数字，例如1, 2, 8

但是，一旦执行该语句就变成

SELECT * 
FROM `table` 
WHERE `event_category` NOT IN ('1,2,8')

这些数字周围的引号破坏了 NOT IN 函数。

有没有办法在不插入这些引号的情况下使用bindParam？简单地写一下是否安全

SELECT * 
FROM `table` 
WHERE `event_category` NOT IN ($category_ids)

Answer 1

你可能会用这个

   $category_ids     = array(1, 2, 8);
   $inQuery = implode(',', array_fill(0, count($category_ids), '?'));

   $db = new PDO(...);
   $stmt = $db->prepare(
    'SELECT *
     FROM table
      WHERE `event_category` IN (' . $inQuery . ')'
   );

   // bindvalue is 1-indexed, so $k+1
   foreach ($category_ids as $k => $id)
    $stmt->bindValue(($k+1), $id);

   $stmt->execute();