应优先使用 updateAll() 而非 save()，因后者受 rules() 中 'safe' 字段限制、触发验证与钩子，而 updateAll() 直接执行 SQL 更新，不校验字段安全性、不触发生命周期事件，需手动指定所有待更新字段。
直接用 updateAll()，别碰 save() —— 后者会加载完整模型、触发验证和钩子，天然带“安全字段”过滤逻辑，想绕开就得换底层操作方式。
为什么 save() 会忽略非安全字段
因为 save() 默认调用 load() + validate()，而 load() 只接受 rules() 中标记为 'safe' 的字段（或显式指定 formName() 匹配的键）。即使你手动赋值 $model->updated_at = time()，只要它没在 rules() 里被声明为 safe，save() 就不会把它写进 SQL。
- 常见误操作：在控制器里写
$model->status = 2; $model->save();，结果status没更新——查rules()，大概率漏了['status', 'safe'] - 更隐蔽的问题：JSON 接口用
$model->load($data, '')时，'safe'限制失效，但若后续又调save()，仍受原始rules()约束 -
save(false)跳过验证，但不跳过字段安全检查——它只跳validate()，不改load()行为
updateAll() 是最干净的绕过方案
它不经过模型生命周期，不读取 rules()，不触发 beforeSave / afterSave，也不校验属性是否 safe。你传什么字段，就更新什么字段。
- 基本写法：
Yii::$app->db->createCommand()->update('user', ['status' => 2, 'updated_at' => time()], ['id' => $id])->execute(); - 条件支持数组或字符串：
['id' => $id]安全，'id = :id AND status != 0'需手动绑定参数防止注入 - 批量更新多条：
updateAll()第二个参数支持IN条件，如['id' => [1, 2, 3]]，比循环save()快一个数量级 - 注意：它不会自动更新时间戳字段（如
updated_at），必须显式写进第一个参数数组里
如果必须用 save()，怎么临时放开字段
只有两种可控方式，其他都是黑盒风险：
- 在模型中临时加规则：
public function rules() { return array_merge(parent::rules(), [['status', 'safe']]); }—— 但要确认这个字段真的不该被验证 - 用
scenarios()显式定义新场景：public function scenarios() { $scenarios = parent::scenarios(); $scenarios['update_status'] = ['status']; return $scenarios; }，然后控制器里写$model->scenario = 'update_status'; $model->save(); - 绝对不要用
$model->setAttributes($data, false)替代——false参数只是跳过安全检查，但后续save()仍按默认场景走，字段可能又被过滤
真正难的不是语法，而是判断哪些字段“该被忽略”：比如 updated_at 必须强制更新，status 可能需权限校验，version 得配合乐观锁。这些逻辑没法靠一个开关解决，得在 updateAll() 前自己兜底校验。
