本文介绍如何通过 pdo 预处理语句安全执行含多个 `case when` 的单条 `update` 语句，兼顾防 sql 注入与性能，避免逐行绑定导致的效率损耗。
在实际开发中，批量更新多条记录（如交换 ID、映射旧值到新值）时，直接使用 CASE WHEN 的单条 UPDATE 语句（如 UPDATE color SET color_id = CASE color_id WHEN 45 THEN 56 WHEN 64 THEN 78 END WHERE color_id IN (45,64)）不仅高效，而且原子性强。但若硬套 PDO 的常规绑定方式（如对每个 :old/:new 单独 bindParam 并循环执行），会导致多次语句解析与执行，丧失原生 SQL 的优势，甚至引发逻辑错误（因 bindParam 是引用绑定，循环中变量覆盖将导致所有参数绑定为最后一组值）。
✅ 正确做法：动态构建参数化查询 + 批量绑定
PDO 本身不支持“一个占位符对应多个值”的语法（如 WHERE color_id IN (:ids) 无法直接绑定数组），但我们可以安全地拼接固定数量的占位符，并统一绑定：
// 假设映射关系：旧ID → 新ID
$mappings = [
45 => 56,
64 => 78,
91 => 102
];
// 动态生成 CASE 表达式和 IN 条件
$caseParts = [];
$inParams = [];
$params = [];
foreach ($mappings as $old => $new) {
$caseParts[] = "WHEN :old_{$old} THEN :new_{$old}";
$inParams[] = ":old_{$old}";
$params[":old_{$old}"] = $old;
$params[":new_{$old}"] = $new;
}
$caseSql = implode(' ', $caseParts);
$inSql = implode(', ', $inParams);
$query = "UPDATE color
SET color_id = CASE color_id {$caseSql} END
WHERE color_id IN ({$inSql})";
$stmt = $conn->prepare($query);
$stmt->execute($params); // 一次性绑定全部参数（注意：execute() 接收关联数组）? 关键说明：
- 使用 execute($params)（传入关联数组）而非 bindParam()，避免引用陷阱，且更简洁；
- 占位符名含唯一后缀（如 :old_45），确保每个参数独立可绑；
- 所有值均为整型，PDO 自动以 PDO::PARAM_INT 处理（若为字符串，需显式指定类型或确保输入已过滤）；
- 安全性保障：未拼接原始值到 SQL，所有数据均经 PDO 参数化处理，彻底杜绝 SQL 注入。
⚠️ 注意事项：
- 若映射数量极大（如上千条），需考虑 MySQL max_allowed_packet 和预处理语句长度限制，此时建议分批处理（如每 500 行一批）；
- 切勿用 is_numeric() 或 addslashes() 替代参数化——前者仅适用于纯数字场景且不防类型绕过，后者在现代 PDO 中既不必要也不可靠（PDO 的底层转义机制与 addslashes 不兼容，尤其在非默认字符集下可能失效）；
- IN 子句中的参数数量必须与绑定数组严格一致，否则抛出异常。
✅ 总结：通过动态生成带唯一命名占位符的 CASE WHEN 语句，并利用 execute() 一次性绑定，即可在保持单条 SQL 高效性的同时，获得 PDO 预处理的完整安全性。这是平衡性能与安全的最佳实践。
