codeigniter 4 本身不内置“防全表更新”开关，需通过模型层强约束（明确定义 $primarykey 和 $allowedfields）与数据库层 sql_safe_updates 双重设防，并配合权限隔离与操作审计兜底。
CodeIgniter 本身不内置“防全表更新”的开关，但结合框架特性与数据库层配合，能有效拦截无条件 UPDATE 或 DELETE。关键在于模型层强约束 + 数据库安全模式双重设防，而不是依赖单一机制。
模型 update() 必须传主键 ID
CI4 的 Model::update() 默认按主键更新，不是按 WHERE 条件。如果没传 ID 或模型未正确定义 $primaryKey，它会静默更新整张表——这是最常见误删根源。
- 确保模型中明确定义：
protected $primaryKey = 'id';（字段名必须与表一致） - 调用时必须显式传入 ID：
$model->update($id, $data)，不能只传$data - ID 来自表单时，务必用隐藏域传递，并在控制器中校验是否为空、是否为数字
- 若需按其他字段更新（如
status = 'pending'），改用 Query Builder：$model->builder()->where('status', 'pending')->update($data)
强制启用 allowedFields 白名单
$allowedFields 不是可选项，而是防止字段注入和意外全表覆盖的安全闸门。未列入白名单的字段，update() 会直接返回 false，且不报错。
- 在模型类中明确声明：
protected $allowedFields = ['name', 'email', 'updated_at']; - 字段名必须与数据库列名完全一致（区分大小写）
- 开发阶段可临时设为
['*']调试，上线前必须删除或替换为真实字段列表 - 避免在控制器里手动拼数组，把清洗后的数据交给模型即可
MySQL 层开启 SQL_SAFE_UPDATES
即使 CI4 模型写法正确，绕过模型直连数据库执行原生 SQL 仍可能出问题。因此数据库层需同步加固：
- 会话级启用：
SET SQL_SAFE_UPDATES = 1;（当前连接生效） - 全局永久启用：在
my.cnf的[mysqld]段添加sql_safe_updates=ON，然后重启 MySQL - 注意：该设置只拦
UPDATE和DELETE，对DROP TABLE、TRUNCATE TABLE无效，需配合权限隔离 - 验证是否生效：执行
UPDATE users SET name='test';应报错ERROR 1175
权限隔离与操作审计兜底
再严格的代码逻辑也难防人为绕过。生产环境必须叠加权限与审计控制：
- 业务账号禁止 DDL 权限：
REVOKE DROP, TRUNCATE ON *.* FROM 'app_user'@'%'; - 开启 MySQL general_log 并输出到表（
log_output = 'TABLE'），用脚本定时扫描异常语句 - 敏感操作（如后台批量删除）加二次确认或工单审批流程，前端拦截 + 后端鉴权双校验
- 本地开发或测试环境使用 Codex 类沙箱工具，默认禁用直连，确需执行需显式配置
read-only或workspace-write模式
