yii2中updateall()是绕过验证的高效批量更新方法，需用expression处理数据库函数、避免sql注入，且yii3已移至command对象调用。
Yii2 中 updateAll() 的基本用法和注意事项
批量更新在 Yii2 里最常用、最高效的方式就是 updateAll()，它直接生成 SQL UPDATE ... WHERE 语句，绕过模型验证和事件，适合大量数据的条件更新。
关键点：它不触发 beforeUpdate/afterUpdate 事件，也不校验规则，所以必须确保条件安全、字段值合法。
-
updateAll()是静态方法，调用主体是 ActiveRecord 类（如User::updateAll(...)），不是实例 - 第一个参数是待更新的字段数组，键为字段名，值为新值（支持表达式，如
'status' => new \yii\db\Expression('status + 1')） - 第二个参数是 WHERE 条件，格式同
find()->where()，支持数组、字符串或ConditionInterface - 返回值是影响的行数（int），可用于判断是否真有数据被更新
带表达式的动态更新（比如自增、时间戳、拼接字段）
纯字面值更新不够用时，得靠 \yii\db\Expression 构造数据库原生表达式。否则 Yii 会把类似 'updated_at' => 'NOW()' 当作字符串字面量写入，而不是执行函数。
常见错误：直接写 'sort_order' => 'sort_order + 1' → 实际存入字符串 "sort_order + 1"，而非执行加法。
- 用
new \yii\db\Expression('sort_order + 1')才能生成SET sort_order = sort_order + 1 - 时间戳推荐用
new \yii\db\Expression('NOW()')或new \yii\db\Expression('UNIX_TIMESTAMP()')，避免 PHP 时间与数据库时区不一致 - 字符串拼接（如 MySQL）可用
new \yii\db\Expression("CONCAT(name, '_backup')")
WHERE 条件写法差异与 SQL 注入风险
updateAll() 的 WHERE 参数若拼接用户输入，极易引发 SQL 注入。Yii 虽默认转义数组形式条件，但对字符串条件不做自动处理。
安全写法优先级：数组条件 > 命名占位符 > 原生字符串（应避免）。
- ✅ 推荐：
['status' => 1, 'created_at' => ['>=', $time]]—— 自动参数绑定 - ✅ 可控：
['AND', 'status = :status', [':status' => 1]]—— 显式命名参数 - ❌ 危险：
"status = " . (int)$_GET['status']或更糟的"username = '" . $_GET['u'] . "'" - 注意：空数组条件
[]会变成WHERE 1，等效全表更新，务必确认逻辑
Yii3 的 updateAll() 差异与兼容提醒
Yii3 把查询构建器完全独立，updateAll() 不再挂载在 ActiveRecord 上，而是通过 Command 或 Query 构建器调用。
如果你正在迁移或混用版本，别直接套用 Yii2 写法，否则会报 Call to undefined method 错误。
- Yii3 正确路径：
(new \yii\db\Connection($config))->createCommand()->update($table, $columns, $condition)->execute() - ActiveRecord 在 Yii3 中默认不提供静态
updateAll()，需手动注入Connection或使用 Repository 模式封装 - 跨版本项目要检查
composer.json中yiisoft/yii2或yiisoft/yii-core的实际版本
批量更新本身不难，难的是条件边界是否清晰、表达式是否真正下推到数据库、以及不同 Yii 版本间那层薄薄的 API 隔离——漏看一个版本号，就可能卡在报错信息里查半天。
