应使用PDO::prepare()配合命名或位置占位符绑定参数执行UPDATE，禁用模拟预处理（setAttribute(PDO::ATTR_EMULATE_PREPARES, false)），通过rowCount()判断影响行数，并用异常模式捕获错误。
如何用 PDO::prepare + execute 安全更新数据
直接拼接 SQL 字符串更新数据是危险的，PDO::prepare 配合参数绑定才是正确做法。它能防止 SQL 注入，同时适配不同数据库的转义规则。
关键不是“能不能写 UPDATE”，而是“参数怎么传、错误怎么捕获、事务要不要包”。常见错误是把变量直接插进 SQL 字符串里，比如 "UPDATE users SET name = '$name' WHERE id = $id" —— 这种写法在任何生产环境都该被禁止。
- 必须使用占位符：
:name（命名参数）或?（位置参数），不能用字符串拼接 - 执行前检查
$stmt->execute()返回值，false表示失败，需调用$stmt->errorInfo()查原因 - 如果涉及多条更新或关联操作，应包裹在
$pdo->beginTransaction()/commit()中 - 确保 PDO 实例已开启异常模式：
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION)，否则错误会静默失败
PDO 更新语句中命名参数与位置参数的区别
命名参数（:status）可读性高、顺序无关；位置参数（?）简洁但容易错位。两者性能无差异，选哪个取决于团队习惯和语句复杂度。
例如更新用户状态和邮箱：
立即学习“PHP免费学习笔记（深入）”；
// 命名参数：键名清晰，顺序可变 $sql = "UPDATE users SET status = :status, email = :email WHERE id = :id"; $stmt = $pdo->prepare($sql); $stmt->execute([':status' => 'active', ':email' => 'a@b.c', ':id' => 123]); // 位置参数：顺序必须严格对应 ? 出现次序 $sql = "UPDATE users SET status = ?, email = ? WHERE id = ?"; $stmt = $pdo->prepare($sql); $stmt->execute(['active', 'a@b.c', 123]);
注意：execute() 传数组时，命名参数的键名必须带冒号（':status'），漏掉会绑定失败且无提示。
更新后如何确认影响行数并处理零匹配场景
$stmt->rowCount() 返回实际被修改的行数，不是“是否成功”，而是“改了几行”。这是判断业务逻辑是否触发的关键依据 —— 比如用户 ID 不存在时，rowCount() 为 0，但 SQL 执行本身可能完全合法。
- 不要只依赖
execute()返回true就认为数据已变 - 更新单条记录时，若
$stmt->rowCount() === 0，大概率是WHERE条件没命中，应返回“未找到目标记录”而非“更新成功” - 批量更新（如
WHERE status = 'pending'）才可能合理返回大于 1 的值
典型处理方式：
$stmt = $pdo->prepare("UPDATE posts SET published = ? WHERE slug = ?");
$stmt->execute([1, 'hello-world']);
if ($stmt->rowCount() === 0) {
throw new RuntimeException("文章不存在或已被更新");
}
为什么 setAttribute(PDO::ATTR_EMULATE_PREPARES, false) 很重要
MySQL 默认开启预处理模拟（emulated prepares），即 PHP 层做参数拼接再发给服务端。这会导致某些边界情况出错：比如 LIKE 参数带 %、NULL 绑定、或使用 IN (?) 语法时无法展开数组。
真实预处理（emulate_prepared => false）由 MySQL 服务端解析执行计划，更安全、更符合预期。
- 连接 DSN 后立即设置：
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false) - 若不设，
execute(['%abc%'])在WHERE title LIKE ?中可能查不到结果 - 部分老版本 MySQL（
这个配置项不起眼，但一旦遇到模糊查询、空值更新或批量 IN 查询失败，八成是它在作怪。
