不建议字符串拼接生成update语句，易引发sql注入；推荐用case when单语句多行更新或临时表+join方式，均需确保安全参数化与正确else处理。
直接拼接字符串生成UPDATE语句风险极高
不建议在应用层用字符串拼接构造批量 UPDATE 语句，尤其当值来自用户输入时——这等于主动打开SQL注入大门。哪怕加了简单转义，也难防边界 case（比如单引号嵌套、Unicode绕过）。真正安全的做法是把动态逻辑交给数据库或ORM处理，而非手写 SQL 拼接。
用 CASE WHEN 实现单条语句多行更新
这是最常用且数据库兼容性好的方案：一条 UPDATE 语句配合 CASE WHEN，按主键或唯一条件批量更新不同字段值。适用于几十到几百行的更新场景，避免网络往返开销，也规避注入风险。
常见错误是漏写 ELSE 分支导致字段被设为 NULL：
UPDATE users
SET name = CASE id
WHEN 1 THEN 'Alice'
WHEN 2 THEN 'Bob'
ELSE name -- 必须有，否则 id 不匹配的行 name 会被置空
END,
status = CASE id
WHEN 1 THEN 'active'
WHEN 2 THEN 'pending'
ELSE status
END
WHERE id IN (1, 2);
-
WHERE子句必须限制作用范围，否则CASE外的行会受ELSE影响 - MySQL 8.0+、PostgreSQL、SQL Server 都支持；SQLite 支持但语法略异（需用
IIF或嵌套CASE） - 字段类型要一致，比如不能在同一个
CASE中混用字符串和数字
用临时表 + JOIN 更新（适合上千行以上）
当要更新的数据量大（如 1000+ 行）、字段多、或需关联外部数据源时，拼 CASE 会变得冗长难维护。此时应把新值导入临时表，再用 JOIN 更新原表。
典型流程：
- 创建临时表（
CREATE TEMPORARY TABLE updates_temp (...)），结构与目标字段对齐 -
INSERT INTO updates_temp批量写入待更新数据（可用参数化批量插入，如 Python 的executemany） - 执行
UPDATE target_table t JOIN updates_temp u ON t.id = u.id SET t.col1 = u.col1, t.col2 = u.col2
注意点：
- PostgreSQL 要用
UPDATE ... FROM语法，不是JOIN - MySQL 5.7+ 支持
JOIN更新，但不能对被更新表起别名后在SET中省略（即SET t.col = ...必须带别名） - 临时表生命周期绑定 session，无需手动清理，但超时或断连会丢失
应用层批量更新慎用 raw SQL，优先走 ORM 或预编译
如果非得在代码里生成 SQL（比如导出脚本、离线任务），至少做到：所有值通过参数占位符传入，绝不用字符串格式化拼值。例如 Python + psycopg2：
ids_and_names = [(1, 'Alice'), (2, 'Bob')]
args_str = ','.join(cur.mogrify("(%s,%s)", x).decode('utf-8') for x in ids_and_names)
cur.execute(f"UPDATE users SET name = v.name FROM (VALUES {args_str}) AS v(id, name) WHERE users.id = v.id;")
这里 cur.mogrify 确保每个值都经驱动安全转义。但更稳的方式是直接用 execute_batch（psycopg3）或分批调用预编译语句。
容易被忽略的是字符集与 NULL 处理：批量更新中某字段为 NULL 时，某些驱动默认跳过该列赋值，导致意外保留旧值；务必显式写出 SET col = %s 并传入 None。
