本文详解如何在 php 中通过 id 安全、正确地更新 mysql/mariadb 数据库中的记录，重点纠正 `update ... set (...) values (...)` 的语法错误，并强调参数化查询防范 sql 注入。
在 PHP 中执行数据库更新操作时，语法准确性与安全性缺一不可。你遇到的 PDOException: SQLSTATE[42000]: Syntax error... near '(URL, titulek, popisek, obsah) VALUES...' 错误，根本原因在于混淆了 INSERT 与 UPDATE 的语法结构——UPDATE 语句不支持 SET (col1, col2) VALUES (?, ?) 这种写法，这是仅适用于 INSERT 的语法。
✅ 正确的 UPDATE 语法应为：
UPDATE 表名 SET 列1 = ?, 列2 = ?, 列3 = ?, 列4 = ? WHERE 主键列 = ?
因此，你需要将 Databes.php 中的 updateData() 方法修正如下：
public static function updateData($URL, $titel, $label, $content, $id) {
$sql = "UPDATE clanky
SET URL = ?, titulek = ?, popisek = ?, obsah = ?
WHERE clanek_id = ?";
self::query($sql, [$URL, $titel, $label, $content, $id]);
}同时，确保你的通用 query() 方法能正确处理预处理和执行（当前实现已基本合理，但建议补充异常处理）：
立即学习“PHP免费学习笔记（深入）”；
public static function query($sql, $parameters = []) {
try {
$query = self::$connection->prepare($sql);
$query->execute($parameters);
return $query;
} catch (PDOException $e) {
error_log("Database update error: " . $e->getMessage());
throw new RuntimeException("Failed to update record.", 0, $e);
}
}⚠️ 关键安全提醒：
- 必须对 $id 也进行参数化绑定（如上所示），而非拼接进 SQL 字符串。否则攻击者可构造恶意 ID（如 '1 OR 1=1' 或 'clanek_id'），导致全表更新甚至注入任意 SQL。
- 避免使用字符串拼接方式构建 WHERE 条件（例如 "WHERE clanek_id = " . $id），这是严重安全隐患。
? 额外建议：
- 使用命名参数提升可读性（可选）：
$sql = "UPDATE clanky SET URL = :url, titulek = :title, popisek = :label, obsah = :content WHERE clanek_id = :id"; self::query($sql, [ ':url' => $URL, ':title' => $titel, ':label' => $label, ':content'=> $content, ':id' => $id ]); - 更新后可通过 $query->rowCount() 检查是否实际影响了数据行，用于业务逻辑判断（如“未找到对应 ID”提示）：
$affected = $query->rowCount(); if ($affected === 0) { throw new InvalidArgumentException("No record found with ID: $id"); }
总结：UPDATE 是赋值操作，不是插入操作；坚持使用参数化查询（所有用户输入，包括 ID）是防范 SQL 注入的基石；语法正确 + 参数安全 = 可靠的数据更新实践。
