CodeIgniter 更新指定字段、排除冗余字段的核心是配置模型的 $allowedFields 并只传必要字段：模型中声明允许更新的字段（如 status、updated_by、notes），控制器用 getPost(['status', 'notes']) 精准取值，update() 调用时明确主键或 where 条件，批量更新同样遵循字段白名单。
CodeIgniter 更新指定字段、排除冗余字段，核心在于两点：一是明确限定哪些字段允许写入（$allowedFields），二是只传入真正需要更新的键值对，不带无关字段。
模型中严格配置 $allowedFields
这是最基础也是最关键的防护。模型必须显式声明可更新字段，未列入的字段即使传入也会被自动过滤：
-
正确示例：在模型中定义
protected $allowedFields = ['status', 'updated_by', 'notes']; -
效果：即使控制器传入
['status' => 'done', 'password' => 'xxx', 'email' => 'test@example.com']，只有status、updated_by、notes会被处理，其余字段直接丢弃 -
注意：不要把敏感字段（如 password、is_admin、deleted_at）放进
$allowedFields，除非业务确实允许前端修改
控制器中只传必要字段
避免“全量传参”，应从请求中精准提取需更新的字段：
-
推荐写法：
$data = $this->request->getPost(['status', 'notes']);—— 显式指定只取哪些字段 -
替代方式：手动构造数组：
$data = ['status' => $this->request->getPost('status')]; -
避免写法：
$data = $this->request->getPost();—— 容易混入隐藏字段、CSRF token 或前端伪造参数
使用 update() 时确保主键或 where 条件明确
CodeIgniter 4 的模型 update() 默认按主键更新，前提是数据中包含主键值（如 id）：
-
安全调用：
$model->update($id, $data);或$model->update(null, $data);（此时$data必须含主键字段） -
更可控方式：先用
find($id)查出记录，再调用save($data)，或链式调用：$model->where('id', $id)->set($data)->update(); -
切忌：直接
$model->update($data)且不传 ID —— 可能误更新整表或报错
批量更新时字段控制同样适用
对多条记录更新（如状态批量变更），仍需遵守字段白名单原则：
-
正确做法：构造仅含目标字段的二维数组：
$batch = [['id' => 1, 'status' => 'archived'], ['id' => 2, 'status' => 'archived']]; $model->update($batch); -
字段校验依然生效：每条子数组中，只有
$allowedFields列出的字段才会被写入数据库 -
不建议：用 Query Builder 手动拼
UPDATE ... SET ... WHERE IN，绕过模型安全机制
