updateattributes() 不支持真正批量更新，仅单条sql赋值且不校验、不触发验证与事件；安全多字段更新应使用load()+validate()+save()；条件批量更新用updateall()。
updateAttributes() 不支持批量更新多字段的原子操作——它只接受一个字段名字符串或字段名数组，但底层仍走的是单条 UPDATE 语句，且**不校验数据合法性、不触发验证规则、不调用事件**。你真正想做的，其实是安全、可控地更新多个属性并落地到数据库。
updateAttributes() 的正确调用方式与限制
它本质是模型层的快捷赋值+保存，不是 SQL 层的 UPDATE ... SET a=?, b=?。传入数组时，字段必须是模型的可写属性（safe 或显式声明 rules() 中允许），否则会被静默忽略。
-
updateAttributes()第一个参数只能是array，不能是键值对混合对象或表达式 - 不会调用
beforeValidate()、afterValidate()，也不会跑rules()，仅做属性赋值后直接save(false) - 若字段在
scenarios()中未启用，或不在safeAttributes()列表里，该字段更新会被丢弃 - 示例：
$model->updateAttributes(['status' => 2, 'updated_at' => time()]);—— 这行代码等价于手动赋值再save(false)
需要 WHERE 条件 + 多字段更新？用 updateAll() 更合适
当你要跳过模型实例、直接按条件更新多行记录（比如“把所有 type=1 的用户 status 设为 0”），updateAll() 是唯一高效选择。它生成原生 SQL，不加载模型、不触发任何生命周期方法。
-
updateAll()必须配合where条件使用，否则全表更新（危险！） - 第二个参数是
where条件，支持数组格式（['status' => 1]）、哈希（['id' => $id]）、甚至表达式（['>', 'created_at', strtotime('-7 days')]） - 第一个参数是待更新字段键值对，值支持 PHP 表达式，如
'updated_at' => new \yii\db\Expression('NOW()') - 示例：
User::updateAll(['status' => 0, 'updated_at' => new \yii\db\Expression('NOW()')], ['type' => 1]);
既要验证又要多字段更新？别绕开 save()，老实用 load() + validate() + save()
如果你的场景是接收表单/接口数据、需校验规则、要触发事件（如日志、缓存清除），就不要硬套 updateAttributes()。它省掉的验证，往往就是线上 bug 的源头。
- 先
$model->load($post, '')（空场景表示用默认场景），再$model->validate()显式检查 - 验证失败时，
$model->getErrors()可直接返回给前端 - 成功后调用
$model->save()，它会自动区分 INSERT / UPDATE，并触发全部生命周期事件 - 若只想更新部分字段（防止 mass-assignment），在
rules()中限定safe字段，或用load($data, '')后手动unset()不允许改的字段
最常被忽略的一点：很多人以为 updateAttributes() 是“安全的批量更新”，其实它连基本的数据过滤都不做；而 updateAll() 虽快，但彻底脱离模型约束。真正需要平衡效率与安全时，得回到 load() + validate() + save() 这个看似啰嗦、实则可控的路径上。
