El código no funciona por un problema de concatenación, como ya han señalado los compañeros.
A mi modo de ver, es mucho más simple guardar los valores en un array y luego sacar cada elemento del array separado por comas usando join
.
Por ejemplo:
items=[];
var val=document.getElementById('show_product');
for (i=0;i< val.length;i++) {
if(val[i].selected){
items.push(val[i].value);
}
}
var codcli=`("${items.join('","')}")`;
console.log(codcli);
Veamos una prueba real:
var items=[];
/*Esto es lo que ocurriría en el for*/
items.push("5590541-2");
items.push("134054-9");
/*Variable final*/
var codcli=`("${items.join('","')}")`;
/*Prueba*/
console.log(codcli);
Esto
var codcli=`("${items.join('","')}")`
es porque según la pregunta quieres los valores entre comillas. Si quisieras los valores sin más sería más simple:
var codcli=`(${items.join()})`;
Y la salida sería:
(5590541-2,134054-9)
Por ejemplo:
var items = [];
/*Esto es lo que ocurriría en el for*/
items.push("5590541-2");
items.push("134054-9");
/*Variable final*/
var codcli = `(${items.join()})`;
/*Prueba*/
console.log(codcli);