最稳妥方式是用createcommand()配合bindvalue()绑定参数、queryall()等方法获取结果，并在事务中统一使用闭包参数$db对象。需防范sql注入、大小写键名、内存溢出等问题。
直接用 createCommand() 执行原生 SQL 最稳妥
Yii2 的 createCommand() 是执行原生 SQL 的第一入口，不绕开连接池、事务管理和 PDO 预处理机制。它比 Query Builder 更轻量，也比 AR（Active Record）更可控，适合写含子查询、窗口函数、UNION 或非标准语法的语句。
常见错误是把变量直接拼进 SQL 字符串："SELECT * FROM user WHERE id = " . $id——这等于敞开 SQL 注入大门；或者写了 createCommand($sql) 却没调 queryAll() 或 execute()，结果什么都没发生。
- 必须用
bindValue()或bindParam()绑定参数，尤其对WHERE、IN、ORDER BY动态部分 - 占位符命名要带冒号，比如
:user_id，绑定时也得写bindValue(':user_id', $id)，不能只传$id -
queryAll()返回二维数组，queryOne()返回一维数组，queryScalar()返回单个值（如COUNT(*)结果），别拿execute()去查数据——它只返回影响行数
execute() 只用于 INSERT/UPDATE/DELETE，不是查数据的工具
execute() 的语义非常明确：它只负责执行不返回结果集的语句，比如增删改、CREATE TABLE、DROP INDEX 等。返回值是整型——受影响的行数。如果误用它查 SELECT，会得到 0 或报错，且拿不到任何数据。
例如这段代码是错的：$db->createCommand("SELECT name FROM user")->execute()；正确写法是：$db->createCommand("SELECT name FROM user")->queryColumn()。
- INSERT：用
insert('table', $data)更简洁，但复杂逻辑（如 ON DUPLICATE KEY）仍得靠createCommand()+execute() - UPDATE/DELETE：务必带
WHERE条件，否则全表扫荡；条件里含变量必须绑定，不能拼字符串 - 批量更新建议用事务包裹，避免部分成功部分失败导致数据不一致
查数据该用哪个 query 方法？看你要什么结构
Yii 提供了四个常用查数据方法，选错会导致取不到值或 PHP 警告。它们底层都调用 PDOStatement::fetch()，但封装逻辑不同：
-
queryAll()：返回完整二维数组，每行是一维关联数组，适合渲染列表页或导出数据 -
queryOne()：只取第一行，返回一维关联数组，适合查单条记录（如用户详情），查不到时返回null -
queryColumn()：只取第一列所有值，返回一维索引数组（如['a', 'b', 'c']），适合做 IN 查询的 ID 列表生成 -
queryScalar()：只取结果集中第一个字段的第一个值，返回标量（int/string/bool），适合 COUNT、MAX、EXISTS 等聚合场景
注意：queryScalar() 对空结果返回 false，不是 null 或 0，判断时要用 === false 避免类型混淆。
事务里执行多条 SQL，必须统一用 $db 对象
在事务中混用不同连接对象（比如一个用 Yii::$app->db，另一个用新实例 new \yii\db\Connection(...)）会导致事务失效——第二条语句根本不在事务上下文中。
正确做法是：从 Yii::$app->db 开始，所有 createCommand() 都基于它创建，并在 try/catch 中统一提交或回滚。
- 事务内不要手动
close()连接，框架会自动管理 - 大事务慎用，长时间持有锁可能阻塞其他请求；高频小事务可接受，但要注意嵌套事务在 MySQL 中实际是忽略外层
BEGIN的 - 如果某条 SQL 报错但没被 catch，事务不会自动回滚，必须显式调
$transaction->rollBack()
事务和参数绑定是 Yii 原生 SQL 操作里最容易被跳过的两环，漏掉任何一个，线上就容易出数据错乱或安全漏洞。
