不能用字符串拼接更新blob，因为mysql不接受裸二进制字节流作sql字面量，含\x00、换行或单引号时会解析失败或被截断；php字符串非二进制安全，mysqlnd驱动易误处理空字节，必须用预处理绑定（?占位符）或setblob()接口。
直接用 updateAll() 或原生 SQL 绑定二进制参数更新，不能把 file_get_contents() 结果拼进 SQL 字符串里——会触发语法错误或截断。
为什么不能用字符串拼接更新 BLOB
MySQL 的 UPDATE 语句不接受裸二进制字节流作为字面量（比如 UPDATE t SET blob_col = 0xffd8ffe0...），尤其当数据含 \x00、换行、单引号时，SQL 解析直接失败；即使侥幸通过，也极大概率被 MySQL 自动截断或编码污染。
- 错误现象：
MySQL server has gone away、Packets out of order、字段值变短或全为乱码 - 根本原因：PHP 字符串不是二进制安全容器，
mysqlnd驱动在未启用binary模式时会误处理空字节 - 正确路径：必须走预处理参数绑定（
?占位符）或setBlob()接口
Yii2 中推荐的两种安全更新方式
Yii2 底层用的是 PDO，支持二进制参数绑定。以下两种写法都绕过 ActiveRecord，避免模型验证、事件钩子和属性转换干扰：
- 用
createCommand()->update()+ 参数绑定（最常用）：$filePath = '/path/to/photo.jpg'; $data = file_get_contents($filePath); Yii::$app->db->createCommand() ->update('user', ['avatar' => $data], ['id' => 123]) ->execute(); - 用原生 PDOStatement +
setBlob()（需手动管理连接，适合大文件流式更新）：$pdo = Yii::$app->db->pdo; $stmt = $pdo->prepare("UPDATE user SET avatar = ? WHERE id = ?"); $stmt->bindParam(1, $blobData, PDO::PARAM_LOB); $stmt->bindValue(2, 123, PDO::PARAM_INT); $blobData = fopen('/path/to/photo.jpg', 'rb'); $stmt->execute();注意：PDO::PARAM_LOB在 Linux 下要求fopen()返回资源，在 Windows 下可能需改用file_get_contents()+PDO::PARAM_STR
容易踩的坑：事务、大小限制与字段类型匹配
BLOB 更新失败常不是代码问题，而是环境配置或表结构隐性约束导致：
-
max_allowed_packet太小：默认 4MB，上传 >4MB 图片会报Packets larger than max_allowed_packet；需在 MySQL 配置中调高，如max_allowed_packet = 64M，并重启服务 - 字段类型不匹配：如果数据库列是
TINYBLOB（上限 255 字节），却试图塞入一张 JPG（通常 >10KB），MySQL 会静默截断且不报错；应根据实际文件大小选BLOB/MEDIUMBLOB/LONGBLOB - 没开事务导致部分失败：大文件更新中途出错，可能留下脏数据；建议包裹在事务中：
$transaction = Yii::$app->db->beginTransaction(); try { Yii::$app->db->createCommand()->update('user', ['avatar' => $data], ['id' => 123])->execute(); $transaction->commit(); } catch (\Exception $e) { $transaction->rollBack(); throw $e; }
真正要注意的不是“怎么写 update”，而是确认 file_get_contents() 返回的是完整原始二进制、PDO 连接启用了 PDO::ATTR_EMULATE_PREPARES = false（Yii2 默认开启，但某些旧驱动下需显式关闭）、以及 MySQL 服务端和客户端的 max_allowed_packet 是否一致。
