使用 pdo 预处理语句执行带多个 when…then 的 case 更新时，无法直接为 case 内部动态绑定多个参数对；但可通过构建静态占位符 + 严格类型校验的方式，在保持单次查询高性能的同时彻底防御 sql 注入。
在原始需求中，目标是将如下高效单语句：
UPDATE color
SET color_id = CASE color_id
WHEN 45 THEN 56
WHEN 64 THEN 78
END
WHERE color_id IN (45, 64);
安全地迁移到 PDO 预处理模式。关键矛盾在于：PDO 不支持「动态数量的命名参数」——你不能在准备阶段写 WHEN :old1 THEN :new1 WHEN :old2 THEN :new2… 并在执行时按需绑定任意组参数。
✅ 正确解法：固定结构 + 参数白名单校验 + 单次执行
假设最多更新 10 对值（可根据业务调整），可预先定义足够占位符的 SQL：
// 定义最大支持对数（如 10）
$maxPairs = 10;
$whenParts = [];
$inValues = [];
$params = [];
for ($i = 1; $i <= $maxPairs; $i++) {
$whenParts[] = "WHEN :old{$i} THEN :new{$i}";
$inValues[] = ":old{$i}";
}
$whenClause = implode(' ', $whenParts);
$inClause = implode(', ', $inValues);
$sql = "UPDATE color
SET color_id = CASE color_id {$whenClause} END
WHERE color_id IN ({$inClause})";
$stmt = $pdo->prepare($sql);
接着，传入实际数据并严格校验类型与范围（这才是防注入的核心，而非依赖 PDO 自动转义）：
// 示例数据：[旧值 => 新值]
$updates = [
45 => 56,
64 => 78,
// 88 => 99, // 可扩展
];
// ✅ 强制整型校验 —— 拒绝任何非纯数字输入
foreach ($updates as $old => $new) {
if (!is_int($old) || !is_int($new) || $old < 1 || $new < 1) {
throw new InvalidArgumentException("Invalid color_id value detected");
}
}
// 绑定参数（索引从 1 开始）
$i = 1;
foreach ($updates as $old => $new) {
$stmt->bindValue(":old{$i}", $old, PDO::PARAM_INT);
$stmt->bindValue(":new{$i}", $new, PDO::PARAM_INT);
$i++;
}
// 补齐未使用的占位符（避免 PDO 报错），设为 NULL 或无效值（WHERE 条件确保不生效）
while ($i <= $maxPairs) {
$stmt->bindValue(":old{$i}", -1, PDO::PARAM_INT); // 保证不在表中
$stmt->bindValue(":new{$i}", -1, PDO::PARAM_INT);
$i++;
}
$stmt->execute();
⚠️ 注意事项：
- 绝不使用 bindParam() 循环重用同一语句（如原问题代码）：它会覆盖前次绑定，且 execute() 调用多次等于多次查询，丧失单语句优势；
- is_numeric() 不够安全：它接受 ‘123e4’、’+123’ 等字符串，可能绕过预期校验；应强制 is_int() 或 (int)$val === $val；
- 若涉及字符串字段（如 color_name），必须额外限制字符集（如 /^[a-zA-Z0-9_/- ]{1,50}$/），并使用 PDO::PARAM_STR + mb_substr() 截断；
- 生产环境建议封装为可复用方法，配合数据库 schema 元信息自动推导字段类型与长度限制。
✅ 总结：真正的安全不来自“用没用预处理”，而来自数据入口的强约束 + 查询结构的确定性。本方案保留原生 SQL 的单次执行性能，同时通过类型/范围校验+静态占位符，实现零风险的批量 CASE 更新。