最安全的批量更新方式是 updateall() 传纯关联数组，它不触发验证和钩子；避免 save() 循环和字符串拼接条件，upsert 需用 upsert() 或原生 sql。
直接用 updateAll() 传关联数组最安全，别碰 save() 批量改数据——它会触发验证、钩子、事件，还可能因 rules 类型校验失败静默丢掉字段。
updateAll() 的 $attributes 参数必须是纯关联数组
这个数组的键是字段名，值是要设的值，不能嵌套，不能带模型逻辑：
-
['status' => 1, 'updated_at' => time()]✅ 正确 -
['user' => ['id' => 123]]❌ 错误，updateAll 不解析嵌套结构 -
['status' => '1']要小心：如果数据库字段是TINYINT(1)，而 model rule 把它定义成string，updateAll()不管 rule，但后续save()就会卡住
带条件的多字段更新要慎用数组写法
当条件里有多个字段且含运算符时，updateAll() 第二个参数（$condition）推荐用数组语法而非字符串，避免 SQL 注入和类型错位：
-
User::updateAll(['status' => 2], ['and', ['age' => 0], ['is_deleted' => 0]])✅ 推荐，自动绑定参数 -
User::updateAll(['status' => 2], "age = 0 AND is_deleted = 0")⚠️ 危险，字符串拼接易出错，无法处理 null 或特殊字符 - 如果条件里用了占位符（如
:status），第三个参数$params必须显式传入，否则报错Invalid Parameter – yii\base\InvalidParamException
想“存在则更新、不存在则插入”？别用 updateAll()
updateAll() 只改已有记录，不新增。要 Upsert 得绕开它：
- 用原生 SQL：
INSERT INTO user (...) VALUES (...) ON DUPLICATE KEY UPDATE status=VALUES(status)，再用createCommand()->execute() - 或先
upsert()（Yii 2.0.14+ 支持）：User::upsert(['id', 'name'], ['name' => 'Alice'], ['status' => 1])，第一个数组是唯一索引字段，第二个是插入值，第三个是冲突后更新字段 - 千万别用
findOne() + save()循环处理上千条——性能崩盘，事务也难控
最容易被忽略的是：批量更新时字段类型和数据库实际定义是否一致。比如 tinyint 字段在 MySQL 里存 0/1，但 PHP 数组传 '1'（字符串）过去不会报错，可后续用 AR 查询时 getIsNewRecord() 或时间字段比较可能出诡异行为——类型不一致的坑，往往在上线后才冒出来。
