Go 的 database/sql 驱动不支持将单个占位符 ? 自动展开为多个值，因此对 IN 子句必须为每个待匹配项显式提供独立占位符，并传入对应数量的参数。
go 的 database/sql 驱动不支持将单个占位符 `?` 自动展开为多个值，因此对 `in` 子句必须为每个待匹配项显式提供独立占位符，并传入对应数量的参数。
在使用 Go 操作 MySQL（或其他关系型数据库）时，IN 子句是常见需求，例如查询满足多个 ID 或状态值的记录。但许多开发者会误以为可以像字符串拼接一样，将逗号分隔的值（如 "3,4,6,9"）直接绑定到单个 ? 占位符上：
bParam := "3,4,6,9"
stmt, err := db.Prepare("SELECT * FROM tableX WHERE `A` = ? AND `B` IN (?)")
rows, err := stmt.Query("aValue", bParam) // ❌ 错误：数据库收到的是字符串 "3,4,6,9"，而非四个整数上述写法实际等价于执行：
SELECT * FROM tableX WHERE `A` = 'aValue' AND `B` IN ('3,4,6,9')即 B 字段被当作单个字符串与整个 "3,4,6,9" 进行比较，而非分别匹配数值 3、4、6、9 —— 这正是问题根源。
✅ 正确做法是：为 IN 列表中的每一项单独声明一个 ? 占位符，并传入对应数量的参数值：
aParam := "aValue"
bValues := []int{3, 4, 6, 9}
// 构建动态占位符：?, ?, ?, ?
placeholders := make([]string, len(bValues))
for i := range placeholders {
placeholders[i] = "?"
}
query := "SELECT * FROM tableX WHERE `A` = ? AND `B` IN (" + strings.Join(placeholders, ", ") + ")"
stmt, err := db.Prepare(query)
if err != nil {
log.Fatal(err)
}
defer stmt.Close()
// 使用 ... 展开切片为独立参数
params := append([]interface{}{aParam}, toInterfaceSlice(bValues)...)
rows, err := stmt.Query(params...)
if err != nil {
log.Fatal(err)
}
defer rows.Close()
for rows.Next() {
var a, b, c string // 根据实际列类型调整
if err := rows.Scan(&a, &b, &c); err != nil {
log.Fatal(err)
}
fmt.Printf("A=%s, B=%s, C=%s\n", a, b, c)
}辅助函数 toInterfaceSlice 示例：
func toInterfaceSlice(slice interface{}) []interface{} {
s := reflect.ValueOf(slice)
if s.Kind() != reflect.Slice {
panic("toInterfaceSlice given a non-slice type")
}
ret := make([]interface{}, s.Len())
for i := 0; i < s.Len(); i++ {
ret[i] = s.Index(i).Interface()
}
return ret
}? 关键注意事项：
- 占位符数量必须严格等于 IN 列表元素个数，否则 Query() 会返回 sql.ErrNoRows 或驱动级错误；
- 所有 IN 参数类型需一致且与数据库字段类型兼容（如 B 是 INT，则传 int 而非 string）；
- 禁止拼接 SQL 字符串（如 "IN (" + bParam + ")"），这会导致 SQL 注入漏洞，完全丧失参数化防护能力；
- 若 IN 列表为空（len(bValues) == 0），需特殊处理（如跳过查询或改用 WHERE 1=0），因为 IN () 在 SQL 中语法非法。
? 进阶推荐：使用 sqlx.In 简化操作
sqlx 提供了更健壮的 IN 查询支持：
import "github.com/jmoiron/sqlx"
bValues := []int{3, 4, 6, 9}
query, args, _ := sqlx.In("SELECT * FROM tableX WHERE `A` = ? AND `B` IN (?)", "aValue", bValues)
query = db.Rebind(query) // 适配不同驱动的占位符（如 PostgreSQL 用 $1）
rows, err := db.Query(query, args...)sqlx.In 自动完成占位符生成与参数展开，显著提升可维护性与安全性。
总之，Go 的原生 database/sql 要求 IN 子句参数化必须“一对一”映射。理解这一机制并辅以工具封装，是编写安全、高效数据库查询代码的基础。
