本文介绍如何在使用 pdo 预处理语句的前提下，安全、高效地实现类似 case when ... then ... 的批量字段更新，避免 sql 注入，同时保持单条 sql 的执行性能。
在实际开发中，我们常需对多行记录进行差异化更新（例如批量重映射 ID），原生 SQL 中使用 CASE WHEN ... THEN ... END 是最简洁高效的方式：
UPDATE color
SET color_id = CASE color_id
WHEN 45 THEN 56
WHEN 64 THEN 78
ELSE color_id -- 显式保留其他值，避免意外置 NULL
END
WHERE color_id IN (45, 64);但直接拼接数值存在 SQL 注入风险。而你尝试的“循环绑定 + 多次执行”方式虽安全，却将一次数据库往返拆成多次，丧失了原查询的原子性与性能优势。
✅ 正确解法：动态构建参数化 SQL（推荐）
PDO 不支持一个占位符绑定多个值，但允许为每个 WHEN/THEN 对分配唯一命名参数。我们可动态生成带确定数量占位符的 SQL，并一次性绑定全部参数：
<?php
// 待更新映射：旧值 → 新值
$mappings = [
45 => 56,
64 => 78,
99 => 101
];
// 构建 CASE 表达式与 WHERE IN 子句
$caseParts = [];
$inParams = [];
$params = [];
foreach ($mappings as $old => $new) {
$caseKey = ':old_' . count($caseParts);
$thenKey = ':new_' . count($caseParts);
$caseParts[] = "WHEN {$caseKey} THEN {$thenKey}";
$inParams[] = $caseKey;
$params[$caseKey] = $old;
$params[$thenKey] = $new;
}
$caseSql = 'CASE color_id ' . implode(' ', $caseParts) . ' ELSE color_id END';
$inSql = implode(', ', $inParams);
$sql = "UPDATE color
SET color_id = {$caseSql}
WHERE color_id IN ({$inSql})";
$stmt = $pdo->prepare($sql);
$stmt->execute($params); // 一次性绑定并执行
echo "Affected rows: " . $stmt->rowCount();? 关键优势：
- ✅ 单次执行：仍为一条 UPDATE 语句，性能与原始 SQL 几乎一致；
- ✅ 完全参数化：所有用户输入均通过 :named 占位符传入，杜绝 SQL 注入；
- ✅ 类型安全：PDO 自动处理整型/字符串类型转换（若需显式指定，可用 bindValue() 替代 execute() 数组传参）；
- ✅ 可扩展：支持任意数量映射对，逻辑清晰易维护。
⚠️ 注意事项：
- 若 color_id 是主键或有唯一约束，需确保新值不违反约束（如重复、外键冲突），建议在事务中执行并捕获异常；
- ELSE color_id 不可省略——否则未匹配的行会被设为 NULL（取决于 SQL 模式），导致数据丢失；
- 避免使用 is_numeric() 或 addslashes() 手动校验替代参数化——它们无法覆盖所有边界场景（如浮点数精度、Unicode 边界字符、MySQL 特殊模式等），参数化才是唯一可靠防御。
? 进阶提示：
对于超大规模映射（如数千行），可考虑分批处理（如每 500 对一组），避免 SQL 过长或参数过多。也可将映射数据暂存临时表，通过 JOIN 更新，但需权衡复杂度与收益。
总之，动态生成带唯一命名参数的 CASE 语句，是兼顾安全性、性能与可维护性的最佳实践。
