Yii2 updateAll() 的 where 条件必须用数组或 Expression，禁用未转义字符串；需确保条件字段有索引、分批处理大表更新，并显式检查返回影响行数是否大于0。
Yii2 updateAll() 的 where 条件必须是数组或表达式
直接传字符串（如 "id IN (1,2,3)"）看似简洁，但会绕过 Yii 的 SQL 转义机制，导致 SQL 注入风险；更隐蔽的问题是，当值含单引号、反斜杠或空值时，语句直接报错或更新错行。
正确做法是用关联数组描述条件，让 Yii 自动处理绑定和转义：
// ✅ 安全且推荐 User::updateAll(['status' => 1], ['id' => [101, 102, 103]]); <p>// ✅ 多字段 AND 条件 User::updateAll(['updated_at' => time()], [ 'AND', ['status' => 0], ['created_at' => ['<', time() - 86400]], ]);</p><p>// ❌ 危险：字符串拼接（不校验、不转义） User::updateAll(['status' => 1], "id IN (101,102,103)");
复杂 where 场景下必须用 Expression 包裹原生 SQL 片段
当需要 LIKE、IS NULL、函数比较（如 DATE(created_at)）等无法用数组直译的逻辑时，不能硬塞字符串，而要用 yii\db\Expression 显式声明“这是可信的 SQL 片段”。
-
Expression不做任何转义，所以只用于你完全控制的内容（如固定字段名、确定安全的函数） - 带用户输入的部分仍要拆出来，用数组键值方式拼进条件
- 多个
Expression可嵌套在AND/OR数组中
use yii\db\Expression;
<p>User::updateAll(
['status' => 2],
[
'AND',
['type' => 'temp'],
new Expression("DATE(created_at) = CURDATE()"),
['email' => $safeEmail], // 用户输入走绑定
]
);批量更新前务必确认主键/条件字段有数据库索引
updateAll() 是直接执行 SQL UPDATE，不加载模型、不触发事件，性能高——但代价是：如果 where 条件字段没索引，MySQL 可能全表扫描，锁表时间长，甚至拖垮线上查询。
- 用
EXPLAIN检查生成的 UPDATE 语句是否命中索引 - 复合条件时，注意联合索引的最左匹配原则（例如
WHERE a=1 AND b=2，索引应为(a,b)，而非(b,a)） - 对大表，考虑分批次更新（如每次 1000 行），避免长事务和锁升级
更新影响行数为 0 时，别默认“成功”，要主动检查
Yii2 的 updateAll() 返回的是影响行数（int），不是布尔值。常见误判是写成 if (User::updateAll(...)) { ... }，结果 where 条件没匹配到任何记录时返回 0，被当作 false 导致逻辑跳过。
- 明确判断
> 0才代表有数据被改 - 若业务要求“至少更新一行”，需额外处理未命中情况（如抛异常、记录日志、fallback）
- 注意：即使 SQL 执行成功，也可能因 WHERE 不匹配而返回 0 —— 这不是错误，而是预期行为
$affected = User::updateAll(['status' => 3], ['id' => $ids]);
if ($affected === 0) {
\Yii::warning("No rows matched for update: " . json_encode($ids), __METHOD__);
// 根据业务决定是否报错或重试
}实际写 where 条件时，最容易被忽略的是把“看起来能跑通”的字符串写法当常态，以及不验证影响行数就继续后续流程。这两点在测试环境难暴露，上线后容易引发静默失败或数据不一致。
