常见原因包括连接失败、SQL拼接错误、未检查返回值；须验证$conn有效性、添加WHERE条件、转义字符串、检查mysqli_query()返回值；推荐用PDO预处理防注入并统一时间来源。
PHP 用 mysqli_query 更新数据失败的常见原因
直接执行 UPDATE 语句却没生效，大概率不是语法写错，而是连接未成功、SQL 拼接出问题、或没检查返回值。PHP 不会自动报错，mysqli_query() 执行失败时只返回 false，但初学者常忽略这个判断。
- 确认
$conn是有效连接：用mysqli_connect()后立刻加if (!$conn) { die(mysqli_connect_error()); } - 更新语句必须包含
WHERE条件，漏写会导致整张表被误更新（比如把所有用户的status都改成 1） - 字符串值必须用单引号包裹，且需转义：用
mysqli_real_escape_string($conn, $value)处理用户输入，否则 SQL 注入风险极高 - 执行后检查返回值：
if (mysqli_query($conn, $sql) === false) { echo mysqli_error($conn); }
用 PDO::prepare 安全更新数据（推荐初学者学）
比起拼接 SQL 字符串，PDO::prepare() 自动处理类型和转义，出错时也更容易定位。它强制你把数据和逻辑分离，是绕不开的安全实践。
- 连接时开启异常模式：
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);，否则错误静默失败 - 占位符用
:name（命名参数）比?（位置参数）更易读，尤其字段多时 -
execute()传入的数组键名必须和 SQL 中的:name完全一致，大小写敏感 - 影响行数用
$stmt->rowCount()获取，返回 0 表示没匹配到任何记录（WHERE条件不成立），不是错误
$pdo = new PDO("mysql:host=localhost;dbname=test", $user, $pass);
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$sql = "UPDATE users SET email = :email, updated_at = NOW() WHERE id = :id";
$stmt = $pdo->prepare($sql);
$stmt->execute(['email' => 'new@example.com', 'id' => 123]);
if ($stmt->rowCount() === 0) {
echo "找不到 ID 为 123 的用户";
}
WHERE 条件里用 IN 时怎么安全传多个值
初学者常想直接写 WHERE id IN (:ids) 然后传一个数组，但 PDO 不支持一个占位符对应多个值。硬拼字符串又危险，必须动态生成占位符。
- 不能写
IN (:ids)并传['1','2','3']—— 这会被当做一个字符串处理 - 正确做法：先用
array_fill(0, count($ids), '?')生成对应数量的?，再implode(',', ...)拼进 SQL - 然后用
array_values($ids)保证顺序，传给execute() - 如果
$ids为空数组，要提前拦截，否则IN ()语法错误
$ids = [10, 20, 30];
if (empty($ids)) {
die("ID 列表不能为空");
}
$placeholders = str_repeat('?,', count($ids) - 1) . '?';
$sql = "UPDATE logs SET status = 'processed' WHERE id IN ($placeholders)";
$stmt = $pdo->prepare($sql);
$stmt->execute($ids); // 注意：这里传的是纯数值数组，不是键值对
更新时间字段用 NOW() 还是 PHP time()？
数据库时间（NOW()）和 PHP 时间（date('Y-m-d H:i:s')）可能因服务器时区、NTP 同步差异导致几秒偏差。线上系统必须统一来源，不能混用。
立即学习“PHP免费学习笔记（深入）”；
- 若字段是
DATETIME或TIMESTAMP，优先用NOW()：一次查询完成，避免 PHP 和 MySQL 时钟不同步 - 若业务要求精确到毫秒，MySQL 5.6.4+ 支持
NOW(3)，但 PHP 的date()无法原生输出毫秒，得用microtime(true)拼接 - 千万别在 PHP 里算好时间再传进去——除非你明确控制了所有服务器的时区配置（
date_default_timezone_set()+ MySQL 的time_zone变量）
实际写更新逻辑时，最常被跳过的一步是验证 WHERE 是否真命中了目标记录。哪怕用了预处理，rowCount() 为 0 也意味着业务逻辑可能断在上游，而不是 SQL 写错了。
