go 的 database/sql 驱动不支持将逗号分隔的字符串直接作为单个占位符（?）绑定到 sql 的 in 子句中；必须为每个待匹配值单独提供一个 ? 占位符，并传入对应数量的参数。
go 的 database/sql 驱动不支持将逗号分隔的字符串直接作为单个占位符（?）绑定到 sql 的 in 子句中；必须为每个待匹配值单独提供一个 ? 占位符，并传入对应数量的参数。
在 Go 中执行形如 WHERE B IN (3, 4, 6, 9) 的 SQL 查询时，开发者常误以为可将字符串 "3,4,6,9" 直接绑定至单个 ? 占位符，例如：
bParam := "3,4,6,9"
stmt, err := db.Prepare("SELECT * FROM tableX WHERE A = ? AND B IN (?)")
rows, err := stmt.Query("aValue", bParam) // ❌ 错误：数据库实际收到的是 WHERE B IN ('3,4,6,9') —— 即把整个字符串当做一个值匹配这会导致 SQL 执行失败或逻辑错误：数据库会将 "3,4,6,9" 视为单个字符串字面量，而非四个独立整数，因此无法匹配 B 列的数值型数据。
✅ 正确做法是：动态生成与参数数量严格匹配的占位符序列，并逐个传入参数值。例如：
aParam := "aValue"
bValues := []int{3, 4, 6, 9}
// 构建动态占位符：?, ?, ?, ?
placeholders := make([]string, len(bValues))
args := make([]interface{}, 0, len(bValues)+1)
args = append(args, aParam)
for i := range bValues {
placeholders[i] = "?"
args = append(args, bValues[i])
}
query := "SELECT * FROM tableX WHERE A = ? AND B IN (" + strings.Join(placeholders, ", ") + ")"
stmt, err := db.Prepare(query)
if err != nil {
log.Fatal(err)
}
defer stmt.Close()
rows, err := stmt.Query(args...)
if err != nil {
log.Fatal(err)
}
defer rows.Close()
for rows.Next() {
var a, b, c string // 根据实际列类型调整
if err := rows.Scan(&a, &b, &c); err != nil {
log.Fatal(err)
}
fmt.Println(a, b, c)
}? 关键要点：
- 占位符 ? 永不展开为多个值，每个 ? 严格对应一个参数；
- IN 子句中的每个待查值都必须有独立的 ?，且参数顺序需与占位符位置一致；
- 务必校验 bValues 长度：空切片会导致 IN () 语法错误（SQL 不合法），建议提前处理边界情况；
- 若 B 列为字符串类型（如 VARCHAR），请确保传入的参数类型与列类型一致（如 []string）。
? 进阶推荐：使用 sqlx 库简化操作。它内置 In() 方法和 BindVar() 自动处理方言适配：
import "github.com/jmoiron/sqlx"
db := sqlx.MustConnect("mysql", dsn)
aParam := "aValue"
bValues := []int{3, 4, 6, 9}
// sqlx 自动构建占位符并绑定
query, args, _ := sqlx.In("SELECT * FROM tableX WHERE A = ? AND B IN (?)", aParam, bValues)
query = db.Rebind(query) // 适配 MySQL 占位符风格
rows, err := db.Queryx(query, args...)? 总结：Go 的原生 SQL 参数化机制是“按位置一对一”绑定，不具备模板式字符串插值能力。安全、可靠地实现 IN 查询，核心在于运行时动态构造占位符 + 类型安全的参数切片展开（args...）。避免拼接 SQL 字符串（防注入）与硬编码占位符数量（影响可维护性）之间，应优先选择动态生成方案或成熟库辅助。
