NOT IN(
'$valores
')
Sobran esos delimitadores....
Si te fijas en lo que retorna el echo sera algo similar a esto
con lo que el contenido del parentesis de IN es leido como un string no como una sucesion de valores...
Los delimitadores solo se deben usar para strings o fechas, para los campos numéricos no son necesarios.
(En la tabla user tienes id_foto y id_comentario ??? )