PDO (PHP Data Objects) হল PHP-এর আধুনিক, ডাটাবেস-অজ্ঞেয়বাদী ডাটাবেস অ্যাক্সেসের জন্য ইন্টারফেস। এর সবচেয়ে গুরুত্বপূর্ণ বৈশিষ্ট্য হল প্রস্তুত স্টেটমেন্ট (prepared statements), যা SQL ইনজেকশন প্রতিরোধ করে — যা যেকোনো ডাটাবেস কোডের জন্য সমালোচনামূলক নিরাপত্তা অনুশীলন।
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO একই API-এর সাথে বিভিন্ন ডাটাবেসে কাজ করে (MySQL, PostgreSQL, SQLite, ইত্যাদি)। ERRMODE_EXCEPTION সেট করলে ডাটাবেস ত্রুটি ধরণীয় ব্যতিক্রম নিক্ষেপ করে।
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
প্রস্তুত স্টেটমেন্ট SQL এবং ডেটা আলাদাভাবে পাঠায় — ডাটাবেস প্যারামিটারগুলিকে খাঁটি ডেটা হিসাবে বিবেচনা করে, কখনও সম্পাদনযোগ্য SQL হিসাবে নয়। এটি ইনজেকশনকে অসম্ভব করে তোলে, ব্যবহারকারী যা কিছু ইনপুট করুক না কেন। এটি ব্যবহারকারী ইনপুট জড়িত যেকোনো কোয়েরির জন্য অপরিহার্য।
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
নিরাপদ ডাটাবেস অ্যাক্সেস PHP ডেভেলপমেন্টের সবচেয়ে নিরাপত্তা-সমালোচনামূলক দিকগুলির মধ্যে একটি, এবং প্রস্তুত স্টেটমেন্ট সহ PDO অপরিহার্য অনুশীলন যা প্রতিটি PHP ডেভেলপারকে অবশ্যই জানতে হবে।
SQL ইনজেকশন — বিশ্বস্ত নয় এমন ব্যবহারকারী ইনপুটকে সরাসরি SQL কোয়েরিতে সংযুক্ত করার কারণে হয় — এটি সবচেয়ে সাধারণ এবং বিধ্বংসী ওয়েব দুর্বলতাগুলির মধ্যে একটি (আক্রমণকারীদের ডেটা পড়তে, পরিবর্তন করতে বা ধ্বংস করতে দেয়), এবং এটি সম্পূর্ণভাবে প্রতিরোধযোগ্য। প্রস্তুত স্টেটমেন্ট বাউন্ড প্যারামিটার সহ হল সমাধান: SQL কাঠামো এবং ডেটা আলাদাভাবে পাঠিয়ে, ডাটাবেস ব্যবহারকারী ইনপুটকে খাঁটি ডেটা হিসাবে বিবেচনা করে যা কখনও SQL হিসাবে সম্পাদিত হতে পারে না, ইনপুট নির্বিশেষে ইনজেকশন অসম্ভব করে তোলে।
বোঝা যে আপনি ব্যবহারকারী ইনপুট জড়িত যেকোনো কোয়েরির জন্য সর্বদা প্রস্তুত স্টেটমেন্ট ব্যবহার করতে হবে (কখনও স্ট্রিং সংযোজন নয়) তা অপরিহার্য, নিরাপত্তা-সংক্রান্ত জ্ঞান।
নিরাপত্তার বাইরে, PDO-এর ডাটাবেস-অজ্ঞেয়বাদী ইন্টারফেস, ব্যতিক্রম-ভিত্তিক ত্রুটি হ্যান্ডলিং, নমনীয় ফলাফল ফেচিং এবং লেনদেন সমর্থন এটিকে PHP-এ ডাটাবেসে অ্যাক্সেসের শক্তিশালী, আধুনিক উপায় করে তোলে।
ডাটাবেস অ্যাক্সেস বেশিরভাগ অ্যাপ্লিকেশনের জন্য মৌলিক এবং SQL ইনজেকশন সাধারণ এবং বিধ্বংসী উভয়ই, PDO এবং প্রস্তুত স্টেটমেন্টের পরম শৃঙ্খলা আয়ত্ত করা PHP ডেভেলপারদের জন্য সবচেয়ে গুরুত্বপূর্ণ বিষয়গুলির মধ্যে একটি — এটি একটি নিরাপদ অ্যাপ্লিকেশন এবং একটি গুরুতর, সুপরিচিত আক্রমণের জন্য দুর্বল অ্যাপ্লিকেশনের মধ্যে পার্থক্য। (Laravel-এর মতো ফ্রেমওয়ার্ক নিরাপদ কোয়েরি বিল্ডার/ORM-এর সাথে হুডের অধীন PDO ব্যবহার করে, কিন্তু অন্তর্নিহিত নীতি অপরিবর্তিত থাকে।)