Как и почти все вопросы «Как я могу делать SQL из PHP»? Вы действительно должны использовать подготовленные заявления. Это не так сложно:

$ids = array(2, 4, 6, 8); // prepare an SQL statement with a single parameter placeholder $sql = "UPDATE MyTable SET LastUpdated = GETDATE() WHERE id = ?"; $stmt = $mysqli->prepare($sql); // bind a different value to the placeholder with each execution for ($i = 0; $i < count($ids); $i++) { $stmt->bind_param("i", $ids[$i]); $stmt->execute(); echo "Updated record ID: $id\n"; } // done $stmt->close(); 

Кроме того, вы можете сделать это следующим образом:

 $ids = array(2, 4, 6, 8); // prepare an SQL statement with multiple parameter placeholders $params = implode(",", array_fill(0, count($ids), "?")); $sql = "UPDATE MyTable SET LastUpdated = GETDATE() WHERE id IN ($params)"; $stmt = $mysqli->prepare($sql); // dynamic call of mysqli_stmt::bind_param hard-coded eqivalent $types = str_repeat("i", count($ids)); // "iiii" $args = array_merge(array($types), $ids); // ["iiii", 2, 4, 6, 8] call_user_func_array(array($stmt, 'bind_param'), ref($args)); // $stmt->bind_param("iiii", 2, 4, 6, 8) // execute the query for all input values in one step $stmt->execute(); // done $stmt->close(); echo "Updated record IDs: " . implode("," $ids) ."\n"; // ---------------------------------------------------------------------------------- // helper function to turn an array of values into an array of value references // necessary because mysqli_stmt::bind_param needs value refereces for no good reason function ref($arr) { $refs = array(); foreach ($arr as $key => $val) $refs[$key] = &$arr[$key]; return $refs; } 

Добавьте дополнительные заполнители параметров для других полей по мере необходимости.

Какой из них выбрать?

• Первый вариант работает с переменным количеством записей итеративно, несколько раз ударяя базу данных. Это наиболее полезно для операций UPDATE и INSERT.

• Второй вариант также работает с переменным количеством записей, но он попадает в базу данных только один раз. Это намного эффективнее, чем итеративный подход, очевидно, что вы можете сделать одно и то же для всех затронутых записей. Это наиболее полезно для операций SELECT и DELETE, или если вы хотите ОБНОВИТЬ несколько записей с теми же данными.

Зачем готовились заявления?

• Подготовленные заявления намного безопаснее, потому что они делают атаки SQL-инъекций невозможными. Это основная причина для использования подготовленных операторов, даже если их больше писать. Разумная привычка вступать в дело: всегда используйте подготовленные заявления, даже если вы считаете, что это «не обязательно». Пренебрежение придет и укусит вас (или ваших клиентов).
• Повторное использование одного и того же подготовленного оператора несколько раз с разными значениями параметров более эффективно, чем отправка нескольких полных строк SQL в базу данных, потому что базе данных нужно только один раз скомпилировать инструкцию и снова использовать ее.
• Только значения параметров отправляются в базу данных при execute() , поэтому меньшее количество данных необходимо переходить через провод при повторном использовании.

В более длинных циклах разница времени выполнения между использованием подготовленного оператора и отправкой простого SQL станет заметной.

Использование пункта «IN»

Может быть, что вы после

 $ids = array(2,4,6,8); $ids = implode($ids); $sql="SELECT * FROM my_table WHERE id IN($ids);"; mysql_query($sql); 

в противном случае, что не так с

 $ids = array(2,4,6,8); foreach($ids as $id) { $sql="SELECT * FROM my_table WHERE ID = $id;"; mysql_query($sql); } 

Аминь на комментарий Томалака к заявлениям.

Однако, если вы не хотите использовать mysqli, вы всегда можете использовать intval () для предотвращения инъекции:

 $ids = array(2, 4, 6, 8); for ($i = 0; $i < count($ids); $i++) { mysql_query("UPDATE MyTable SET LastUpdated = GETDATE() WHERE id = " . intval($ids[$i])); } 

 $values_filtered = array_filter('is_int', $values); if (count($values_filtered) == count($values)) { $sql = 'update table set attrib = 'something' where someid in (' . implode(',', $values_filtered) . ');'; //execute } else { //do something } 

Вы можете сделать что-то вроде следующего, однако вам нужно быть ОЧЕНЬ осторожным, чтобы массив содержал целые числа, иначе вы могли бы получить SQL-инъекцию.

Вы действительно не хотите делать несколько запросов, чтобы получить контент, если вы можете ему помочь. Что-то вроде этого может быть тем, что вам нужно.

 foreach ($array as $key = $var) { if ((int) $var <= 0) { unset($array[$key]); } } $query = "SELECT * from content WHERE contentid IN ('".implode("','", $array)."')"; $result = mysql_query($query); с foreach ($array as $key = $var) { if ((int) $var <= 0) { unset($array[$key]); } } $query = "SELECT * from content WHERE contentid IN ('".implode("','", $array)."')"; $result = mysql_query($query);