Yii搜索核心是用ActiveQuery链式构建+andFilterWhere()安全处理多条件，它自动跳过null/空字符串等falsy值；模糊搜索需用addSearchCondition()或StringHelper::escapeLike()防注入；关联字段搜索须先joinWith()再条件过滤；分页总数必须复用同一query实例以保证条件一致。
Yii 框架实现搜索功能，核心不是写一堆 if 判断拼 SQL，而是用 ActiveQuery 链式构建 + andFilterWhere() 处理空值逻辑 —— 这是避免 SQL 注入、空条件漏查、性能崩掉的关键。
怎么用 andFilterWhere() 安全处理多条件（含空值）
用户填了姓名、没填部门、选了状态为“1”，你不能生成 WHERE name = '张三' AND dept = '' AND status = 1 —— 这会把 dept 为空的全捞出来，语义错误。正确做法是：只对非空、非默认值的字段加查询条件。
-
andFilterWhere()会自动跳过null、空字符串''、空数组等“falsy”值，适合表单字段；andWhere()则无条件拼接，慎用 - 对日期范围，别直接
andFilterWhere(['>=', 'created_at', $from])，要先验证$from是合法时间戳或格式化字符串，否则可能拼出>= ''导致全表扫描 - 搜索框输入空格（如
' '）会被trim()后变成''，andFilterWhere自动忽略，但若业务要求支持“查空格名”，就得手动判断并改用andWhere()
怎么支持模糊搜索（LIKE）且防注入
直接写 ['like', 'name', $_GET['q']] 是危险的 —— 用户传 %admin% 就能绕过权限查所有管理员。Yii 默认不转义通配符，必须显式处理。
- 用
addSearchCondition()（Yii 2.0.14+）最省心：$query->addSearchCondition('name', $q, true)，第三个参数开启escape，自动把%_转成字面量 - 老版本或自定义逻辑，手动用
yii\helpers\StringHelper::escapeLike()：['like', 'name', '%' . StringHelper::escapeLike($q) . '%'] - 注意：MySQL 的
LIKE在前导通配符（如'%张'）时无法走索引，高频搜索建议配合全文索引或 ES
怎么让搜索支持关联表字段（比如查用户所属部门名）
直接在 andFilterWhere(['like', 'department.name', $deptName]) 会报错 —— department.name 不在主表里，得先 joinWith()。
- 必须显式
joinWith('department')（假设 User 模型有getDepartment()关联），否则 SQL 编译失败 - 关联字段搜索要加表别名避免歧义：
andFilterWhere(['like', 'department.name', $deptName])，而不是['like', 'name', ...] - 如果关联表数据量大，又只搜几个字段，用
joinWith(['department' => function ($q) { $q->select(['id', 'name']); }])减少传输数据 - 注意 N+1：不要在循环里反复调
joinWith()，统一在查询对象上链式调用一次
分页 + 搜索结果总数不准？检查 count() 是否用了相同 query 条件
常见错误：分页用 User::find()->andFilterWhere(...)->joinWith(...)->limit(20)->offset(0)->all()，但总数却用 User::find()->count() —— 没带 andFilterWhere 和 joinWith，结果永远是全表数。
- 总数必须复用同一
ActiveQuery实例：$query = User::find()->andFilterWhere(...)->joinWith(...); $list = $query->limit(20)->offset(0)->all(); $total = $query->count(); - 如果用了
select()改字段，count()可能报错（如 MySQL strict mode 下），此时改用$query->createCommand()->count() - 大数据量下，
count(*)可能慢，可考虑缓存总数，或前端用“加载更多”代替传统分页
真正难的不是写完搜索，而是想清楚每个字段的语义边界：空字符串算“未填写”还是“明确为空”？日期范围缺一端怎么处理？关联表不存在时要不要排除主记录？这些逻辑一旦定错，后面调半天 SQL 也救不回来。
