UPDATE语句必须带非恒真WHERE条件，否则会误更新全表；执行前应先用相同WHERE的SELECT COUNT(*)验证影响行数。
UPDATE语句必须带WHERE条件且不能为常量真值
没有WHERE或WHERE 1=1这类恒真条件，是误更新的头号原因。数据库不会主动阻止你写UPDATE users SET status = 'active'，它会真的去改全表每一行。
实操建议：
- 在执行前用
SELECT COUNT(*)加相同WHERE验证影响行数，例如先跑SELECT COUNT(*) FROM orders WHERE created_at ，再决定是否执行对应UPDATE - 开发环境可设
SQL_SAFE_UPDATES=1（MySQL），它会拒绝无KEY列WHERE、无WHERE、WHERE含函数等高危UPDATE - 禁止在脚本里拼接
WHERE 1=1或WHERE true作为占位——这等于没加条件
用LIMIT限制实际修改行数（仅限MySQL）
LIMIT不是标准SQL语法，但MySQL支持在UPDATE后加LIMIT N来硬性截断修改数量。它不能替代WHERE，但能兜底防爆炸式误改。
实操建议：
- 批量修复时明确预期影响行数，比如“只改最近10条异常订单”，就写
UPDATE orders SET processed = 1 WHERE status = 'pending' LIMIT 10 - 注意：PostgreSQL和SQL Server不支持UPDATE LIMIT，需改用CTE或TOP子句（见下一条）
- 执行后务必检查
Rows matched和Changed数是否符合预期，不要只看“Query OK”
PostgreSQL/SQL Server用CTE或TOP做安全包裹
在不支持UPDATE LIMIT的数据库中，靠子查询或CTE限定作用范围，本质是把“要改哪些行”的逻辑显式抽出来，避免WHERE写错导致扩散。
实操建议：
- PostgreSQL示例：
WITH target AS ( SELECT id FROM users WHERE last_login < '2022-01-01' LIMIT 100 ) UPDATE users SET status = 'inactive' SET status = 'inactive' FROM target WHERE users.id = target.id;
- SQL Server用
TOP：UPDATE TOP (100) users SET status = 'inactive' WHERE last_login - 所有这类写法都依赖主键或唯一标识关联，禁止在CTE里漏掉JOIN条件或用非唯一字段关联
上线前必须加事务+回滚检查
再谨慎的WHERE也可能逻辑错误。真正防止数据毁灭的最后一道防线，是把UPDATE包在事务里，并在提交前人工确认影响结果。
实操建议：
- 永远以
BEGIN TRANSACTION开头，执行UPDATE后立刻SELECT * FROM table WHERE [same condition]查出刚改的行，核对内容是否符合预期 - 确认无误再
COMMIT；有问题立刻ROLLBACK——别指望备份恢复，那是小时级操作 - 自动化脚本里禁用自动提交，且必须包含
IF @@ROWCOUNT = 0 BEGIN RAISERROR('No rows affected', 16, 1) END类校验，防止WHERE写错却静默成功
最危险的不是不会写安全UPDATE，而是习惯了“反正有备份”“反正测试库没问题”。WHERE条件里的字段名拼错、时间范围反向、NOT逻辑遗漏——这些错误不会报语法错，只会安静地删掉你半年的用户数据。
