正确写法是直接调用updateall()执行数据库级批量更新，如createcommand()->update('order', ['status' => 2], ['in', 'id', [101,102,105,108]])->execute()；更新字段为同表另一列时须用new expression('column_name')包裹，避免字符串字面量误用。
updateAll() 一次更新多条记录的正确写法
直接用 updateAll() 就能批量更新，不需要先查再循环。它底层就是一条 SQL UPDATE 语句，性能远高于 foreach + model->update()。
关键点是 WHERE 条件必须能命中多行——比如用 ['in', 'id', $ids]、['status' => 0] 或更复杂的表达式。
-
updateAll()不走模型验证、不触发beforeSave/afterSave钩子，也不加载任何 ActiveRecord 实例，纯 SQL 层操作 - 第二个参数（WHERE）支持数组格式条件、字符串条件、甚至绑定参数，推荐用数组格式防注入
- 更新字段值可以是普通值，也可以是数据库表达式（如用
yii\db\Expression引用另一列）
示例：
use yii\db\Expression;
Yii::$app->db->createCommand()->update('order', [
'status' => 2,
'updated_at' => time(),
'prev_status' => new Expression('status'), // 把当前 status 值复制给 prev_status
], ['in', 'id', [101, 102, 105, 108]])->execute();
更新字段值来自同一张表另一列时怎么写
不能直接写 'prev_status' => 'status'，那会被当字符串字面量处理；必须用 yii\db\Expression 包裹，告诉框架这是 SQL 表达式。
- 错误写法：
['prev_status' => 'status']→ 生成SET prev_status = 'status'（字符串） - 正确写法：
['prev_status' => new Expression('status')]→ 生成SET prev_status = status（列名） - 多个字段混用没问题，只要表达式只用于需要动态计算的字段
常见场景：归档状态、备份旧值、同步时间戳等。
带参数绑定的 updateAll() 怎么避免 SQL 注入
WHERE 条件里有用户输入时，别拼字符串。用数组条件 + 绑定参数最安全。
- 推荐：
['and', ['status' => 1], ['like', 'title', $keyword]]—— 框架自动转义 - 慎用：
"status = 1 AND title LIKE '%{$keyword}%'"—— 手动拼接易出漏洞 - 如果必须用原生 SQL 字符串条件，一定要配
bindValues()，例如：createCommand()->update(...)->bindValues([':kw' => "%{$keyword}%"])->execute()
updateAll() 返回值和常见失败原因
updateAll() 返回的是**实际被修改的行数**（int），不是布尔值。0 不代表报错，只代表没匹配到数据或新旧值相同。
- 返回 0 的可能原因：WHERE 条件没命中任何记录 / 所有匹配行的字段值本来就是目标值（MySQL 的 safe-update 模式下不会报错，但影响行为）
- 真正报错会抛出
\yii\db\Exception，比如字段不存在、类型不匹配、外键约束失败 - 注意：它不校验字段是否在表结构中存在，SQL 执行失败才会暴露问题
调试时建议先用 createCommand()->update(...)->getRawSql() 看生成的 SQL，再贴到数据库客户端执行验证逻辑。
