批量更新时直接拼接VALUES字符串即使调用prepare()也不安全，因SQL已含恶意内容；正确做法是单条预处理+循环execute，或谨慎构造动态占位符并严格匹配参数类型与数量。
批量更新时拼接 VALUES 就算用了 prepare() 也危险
很多人误以为只要调用了 prepare() 就安全了，其实不然。如果在循环里把用户数据拼进 SQL 字符串再交给 prepare()，数据库拿到的是一条**已含恶意内容的完整语句**，根本没机会做参数隔离。
典型错误写法：
$sql = "INSERT INTO users (name, email) VALUES ";
$values = [];
foreach ($data as $row) {
// ❌ 危险：直接拼接用户输入
$values[] = "('" . $row['name'] . "','" . $row['email'] . "')";
}
$sql .= implode(',', $values);
$stmt = $pdo->prepare($sql); // prepare 的是整条拼好的 SQL
$stmt->execute();
攻击者只要在某条 $row['name'] 里塞入 '), ('x', 'y'); DROP TABLE users; --，就能触发多语句执行（尤其 MySQL 开启 multi_statements 时）。
PDO 小批量更新：单条 prepare + 循环 execute
这是最稳妥、兼容性最好、代码最清晰的做法，适合几百条以内的数据。
-
prepare()只调用一次，SQL 模板固定，如"INSERT INTO users (name, email) VALUES (?, ?)" - 每次
execute()传入一组值，数据库逐条校验类型与边界 - 无需担心变量作用域、引用陷阱或占位符数量计算
示例：
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
foreach ($data as $row) {
// ✅ 安全：每组值独立绑定
$stmt->execute([$row['name'], $row['email']]);
}
mysqli 批量绑定要注意 bind_param() 的引用陷阱
mysqli 面向对象方式不支持直接传数组给 execute()，必须用 bind_param()，而它要求传的是**变量引用**，不是表达式。
- 不能写
bind_param('ss', $row['name'], $row['email'])—— 会报错 - 必须先解构：
$name = $row['name']; $email = $row['email'];，再bind_param('ss', $name, $email) - 若用
call_user_func_array()动态绑定，参数数组里的每个元素都得是&$var，否则绑定的是空值或上一轮残留值
常见失效现象：execute() 不报错，但数据库里写进去的全是 NULL 或旧值。
大批量场景下构造动态占位符要小心类型和长度
当数据量超过 1000 条，频繁 execute() 开销变大，可改用单条 INSERT ... VALUES (?, ?), (?, ?), ... 形式，但必须手动构造占位符并确保参数顺序严格匹配。
- 占位符数量必须与实际参数个数一致，否则
execute()报错或静默失败 - 所有字段类型需统一，比如混合字符串和整数时，
execute()传入的数组必须保持对应位置类型一致 - MySQL 默认有
max_allowed_packet限制，过长 SQL 会被截断，需提前检查或分批
容易被忽略的一点：这种写法看似“批量”，但依然依赖预处理机制；一旦占位符数量算错、参数数组长度不匹配，或某条数据含非法字符（如未过滤的换行、\0），整个语句就可能崩掉，且错误提示常不明确。
