PHP批量更新需用PDO预处理+事务分批执行，禁用字符串拼接防注入；每批≤500行，强制整型ID，校验rowCount()，避免死锁与日志溢出。
UPDATE 语句本身不支持“循环”逻辑，PHP 里所谓“用循环批量更新”，本质是**在 PHP 层控制多条独立 UPDATE 的执行节奏**，不是 SQL 自带循环。这种方式可行但需谨慎：它比单条更高效，又比 CASE WHEN 更灵活，但若不加事务和参数绑定，极易出错或被注入。
为什么不能直接 foreach + 拼接 SQL 字符串？
常见错误是这样写：
$sql = '';
foreach ($data as $row) {
$sql .= "UPDATE users SET status='{$row['status']}' WHERE id={$row['id']}; ";
}
mysqli_multi_query($conn, $sql);
这有三个硬伤：
-
id和status全部未过滤，$row['id']若为1 OR 1=1就直接全表更新 -
mysqli_multi_query不返回每条语句影响行数，失败了也难定位哪一行炸了 - MySQL 默认禁用多语句（
mysql.allow_local_infile=OFF），线上环境大概率报错Commands out of sync
用 PDO 预处理 + 循环执行的正确姿势
适用于字段值差异大、需逐条校验、或兼容非 MySQL 数据库的场景。关键点不是“循环”，而是“每个循环都走预处理+参数绑定+错误捕获”：
- 先调用
$pdo->beginTransaction()，把全部更新包进事务 - 复用同一个
prepare()对象，避免重复编译开销：$stmt = $pdo->prepare("UPDATE users SET status = ? WHERE id = ?") - 循环中只
execute()，且确保id强制转为整型：$stmt->execute([$status, (int)$id]) - 每次
execute()后检查$stmt->rowCount()是否为 1；不为 1 说明 ID 不存在或条件不匹配，可记录日志或跳过
超 500 行时必须分批，否则事务日志撑爆
MySQL 的 innodb_log_file_size 和 max_binlog_size 限制了单个事务能写的日志量。一次更新 5000 行，很可能触发 ERROR 1205 (HY000): Deadlock found when trying to get lock 或 ERROR 1153 (08S01): Got a packet bigger than 'max_allowed_packet' bytes：
立即学习“PHP免费学习笔记（深入）”；
- 按
array_chunk($data, 500)切片，每批单独beginTransaction() → execute → commit() - 两批之间加
usleep(10000)（10ms），缓解主从延迟和锁竞争 - 不要在循环里
new PDO()—— 连接复用比创建快一个数量级
容易被忽略的脏细节
很多人卡在“明明代码跑通了，但数据库没变”：
-
WHERE id = ?中的?必须对应整型变量，若传字符串'1'，PDO 可能静默失败（尤其开启PDO::ATTR_EMULATE_PREPARES = false时） - MySQL 严格模式下，
status字段若定义为ENUM('active','inactive')，而你传了'pending'，execute()不报错但rowCount()返回 0 - 前端表单若用
name="status[123]"提交，PHP 接收后$_POST['status']是关联数组，foreach的$key就是 ID，别再额外查一遍数据库反推 ID
