PDO (PHP Data Objects) je moderní, databázově agnostické rozhraní PHP pro přístup k databázím. Jeho nejdůležitější funkcí jsou prepared statements, které zabraňují SQL injection — kritické bezpečnostní praxi pro jakýkoli kód pracující s databází.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO funguje v různých databázích (MySQL, PostgreSQL, SQLite atd.) se stejným API. Nastavení ERRMODE_EXCEPTION způsobí, že chyby databáze vyhodí uchopitelné výjimky.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements odesílají SQL a data odděleně — databáze považuje parametry za čistá data, nikdy ne za spustitelný SQL. Díky tomu je injekce nemožná, bez ohledu na to, co uživatel zadá. Toto je nepochybné pro jakýkoli dotaz zahrnující uživatelský vstup.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Bezpečný přístup k databázi je jedním z nejkritičtějších aspektů bezpečnosti vývoje v PHP a PDO s prepared statements je nezbytnou prakticí, kterou musí znát každý vývojář PHP.
SQL injection — způsobená zřetězením nedůvěryhodného uživatelského vstupu přímo do SQL dotazů — je jednou z nejčastějších a nejničivějších webových zranitelností (umožňuje útočníkům číst, upravovat nebo ničit data), a je zcela předcházitelná. Prepared statements s vázanými parametry jsou řešení: odesláním struktury SQL a dat odděleně databáze považuje uživatelský vstup za čistá data, která nemohou být nikdy spuštěna jako SQL, čímž se injekce stává nemožnou bez ohledu na vstup.
Rozdíl mezi tím pochopit, že musíte vždy používat prepared statements pro jakýkoli dotaz zahrnující uživatelský vstup (nikdy ne zřetězení řetězců), je nepochybné, bezpečnostně nezbytné znalosti.
Beyond bezpečnosti, databázově agnostické rozhraní PDO, zpracování chyb založené na výjimkách, flexibilní načítání výsledků a podpora transakcí jej činí robustním, moderním způsobem přístupu k databázím v PHP.
Jelikož přístup k databázi je základem většiny aplikací a SQL injection je jak běžná, tak katastrofální, zvládnutí PDO a absolutní disciplíny prepared statements patří mezi nejdůležitější věci, kterou musí vývojář PHP pochopit — je to rozdíl mezi bezpečnou aplikací a aplikací zranitelnou vůči záludnému, dobře známému útoku. (Frameworky jako Laravel používají PDO pod kapotou s bezpečnými tvůrci dotazů/ORM, ale základní princip zůstává.)