无法将内爆数组绑定到 mysql 准备好的语句中

Question

我对以下语法错误感到头疼。我正在尝试将内爆数组绑定到准备好的语句中，但出现以下语法错误：

您的 SQL 语法有误；检查与您的 MySQL 服务器版本相对应的手册，以了解在“？”附近使用的正确语法在第 1 行

这是我的代码。谁能看出我哪里出错了？

<?php 
include('config.php');

$selected = $_POST['selected'];

if ($stmt = $mysqli->prepare("DELETE FROM email_addresses WHERE email_addresses IN ?")) {

    $stmt->bind_param("s", "('" . implode("', '", $selected) . "')" );

    $stmt->execute();

    $stmt->close();

    print "ok";

} else {
    print $mysqli->error;
}

$mysqli->close();

?>

作为测试，我尝试了：

print "('" . implode("', '", $selected) . "')";

这正确地给了我

('me@me.com', 'you@you.com')

Answer 1

让我为您省点麻烦，并告诉您您尝试做的事情无论如何都行不通。您只需将一个参数绑定到您的 IN() 函数调用。你认为你传递了一个逗号分隔的列表，但实际上你只是传递了一个逗号分隔的字符串，它被视为一个值。这意味着您将搜索 一条记录，其值为“'me@me.com'、'you@you.com'”，而不是匹配“me@me.com”的记录或“you@you.com”。

要克服这个问题，您需要：

1. 动态生成您的类型字符串
2. 使用call_user_func_array() 绑定参数

你可以像这样生成类型字符串：

$types = str_repeat('s', count($selected));

所有这一切都是创建一个s 的字符串，其字符数与数组中的元素数一样多。

然后你可以像这样使用call_user_func_array() 绑定你的参数（注意我把括号放回IN() 函数）：

if ($stmt = $mysqli->prepare("DELETE FROM email_addresses WHERE email_addresses IN (?)")) {
    call_user_func_array(array($stmt, "bind_param"), array_merge($types, $selected));

但是如果你尝试这个你会得到一个关于mysqli_stmt::bind_param()期望参数二通过引用传递的错误：

警告：mysqli_stmt::bind_param() 的参数 2 应为参考，已给出值

这有点烦人，但很容易解决。要解决这个问题，您可以使用以下函数：

function refValues($arr){ 
    $refs = array(); 
    foreach($arr as $key => $value) 
        $refs[$key] = &$arr[$key]; 
    return $refs; 
} 

它只是创建一个值数组，这些值引用$selected 数组中的值。这足以让mysqli_stmt::bind_param()开心：

if ($stmt = $mysqli->prepare("DELETE FROM email_addresses WHERE email_addresses IN (?)")) {
    call_user_func_array(array($stmt, "bind_param"), array_merge($types, refValues($selected)));

编辑

从 PHP 5.6 开始，您现在可以使用 ... 运算符来简化此操作：

$stmt->bind_param($types, ...$selected);