更新MySQL应只修改明确字段，避免全量覆盖导致created_at等字段丢失；需用白名单校验字段名、PDO预处理绑定值、WHERE用主键；框架中优先用原生update方法而非模型save。
PHP 更新 MySQL 时只改部分字段，别用 UPDATE ... SET *
直接覆盖整行容易丢数据，尤其当表里有 created_at、updated_at、status 等非空或默认值字段时，全量更新会把原本的 created_at 覆盖成 NULL 或当前时间，导致业务逻辑错乱。
核心原则：只拼接你**明确要改的字段**，其余字段不参与 SET 子句。
- 用数组收集要更新的字段和值，比如
['name' => '张三', 'email' => 'zhang@example.com'] - 动态构建
SET name = ?, email = ?和参数绑定数组 - 务必对字段名做白名单校验（防止注入或误更新敏感字段）
- WHERE 条件不能省，且建议用主键（如
id）而非模糊条件（如username）
PDO 预处理方式实现部分更新（推荐）
PDO 是最稳妥的选择，能天然防 SQL 注入，也方便复用。关键点在于：字段名不能参数化，只有值可以；所以字段名必须白名单过滤，值才走 ? 占位符。
$fields = ['name' => '李四', 'phone' => '13800138000'];
$allowed_fields = ['name', 'phone', 'email', 'status']; // 白名单
$set_parts = [];
$params = [];
foreach ($fields as $key => $value) {
if (!in_array($key, $allowed_fields)) {
continue;
}
$set_parts[] = "$key = ?";
$params[] = $value;
}
if (empty($set_parts)) {
throw new InvalidArgumentException('No valid fields to update');
}
$sql = "UPDATE users SET " . implode(', ', $set_parts) . " WHERE id = ?";
$params[] = $user_id;
$stmt = $pdo->prepare($sql);
$stmt->execute($params);
使用 ThinkPHP / Laravel 等框架时怎么避免全量更新
框架默认的 save() 或 update() 方法，如果传的是完整模型实例，可能触发全量更新（尤其 Laravel 的 fill() + save()）。要确保只带变更字段：
立即学习“PHP免费学习笔记（深入）”；
- ThinkPHP：用
Db::table('users')->where('id', $id)->update(['name' => '王五'])，它只处理传入数组里的键 - Laravel：用
User::where('id', $id)->update(['email' => 'new@ex.com'])，这是原生 SQL 更新，不会读取模型再 save - 切忌：不要写
$user = User::find($id); $user->name = '新名'; $user->save();——这会把所有可填充字段（包括未改的）都写回去
容易踩的坑：NULL 值、空字符串、时间字段处理
部分更新时，字段值是 NULL 或空字符串，数据库行为可能和预期不同：
-
NULL值：如果字段允许为NULL，传null会真实写入NULL；如果不允许，PDO 会报错，需提前判断 - 空字符串：
''是合法值，但某些字段（如phone）业务上可能不允许为空，应在 PHP 层校验，而不是依赖数据库约束 - 时间字段：别让
updated_at依赖数据库DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP，除非你确认所有更新都走这个机制；否则建议在 PHP 中显式赋值'updated_at' => date('Y-m-d H:i:s')
最麻烦的是字段类型隐式转换：比如把字符串 '0' 写进 tinyint 字段，MySQL 可能转成 0，而 PHP 没报错——这种问题得靠日志或数据库审计才能发现。
