php - 使用 IN() 函数准备 MySQL 语句

Question

现在我这样做了:

$params = array(1,2,3);
$sql = 'select * from foo where bar in (%s)';

$sql = sprintf($sql, 
    implode(',', $params)
);

$params 由用户提供，因此显然不安全。我怎样才能解决这个问题？我更喜欢使用像 Zend 这样的框架。

Answer 1

你可以使用 prepared statements与 PDO :

$dbh    = new PDO('mysql:host=localhost;dbname=test', $user, $pass);
$params = array(1,2,3);
$values = implode(',', array_fill(0, count($params), '?')); // ?,?,?
$sql    = "select * from foo where bar in ($values)";
$stmt   = $dbh->prepare( $sql );

$stmt->execute( $params );

通过使用准备好的语句，您可以避免转义数据。不过，您仍然需要对其进行验证。