PDO (PHP Data Objects) er PHPs moderne, database-uafhængige interface til at få adgang til databaser. Dens vigtigste funktion er prepared statements, som forhindrer SQL injection — den kritiske sikkerhedspraksis for al databasekode.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO fungerer på tværs af databaser (MySQL, PostgreSQL, SQLite osv.) med samme API. Indstilling af ERRMODE_EXCEPTION får databasefejl til at kaste undtagelser, der kan håndteres.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements sender SQL og data separat — databasen behandler parametre som ren data, aldrig som eksekverbar SQL. Dette gør injection umulig, uanset hvad brugeren indsender. Dette er ikke til forhandling for nogen forespørgsel, der involverer brugerinput.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Sikker databaseadgang er en af de mest sikkerhedskritiske aspekter af PHP-udvikling, og PDO med prepared statements er den vigtige praksis, som hver PHP-udvikler skal kende.
SQL injection — forårsaget af at sammenkæde ikke-pålidelige brugerinput direkte i SQL-forespørgsler — er en af de mest almindelige og ødelæggende websårbarheder (der giver angribere mulighed for at læse, ændre eller ødelægge data), og den er helt og holdent undgåelig. Prepared statements med bundne parametre er løsningen: ved at sende SQL-strukturen og dataene separat, behandler databasen brugerinput som ren data, der aldrig kan køres som SQL, hvilket gør injection umulig uanset input.
At forstå, at du altid må bruge prepared statements til enhver forespørgsel, der involverer brugerinput (aldrig strengsammenkædning), er ikke til forhandling, sikkerhedsvigtig viden.
Udover sikkerhed gør PDOs database-uafhængige interface, exception-baseret fejlhåndtering, fleksibel resultat hentning og transaktionsstøtte det til den robuste, moderne måde at få adgang til databaser i PHP.
Da databaseadgang er grundlæggende for de fleste applikationer, og SQL injection er både almindelig og katastrofal, er det blandt de vigtigste ting, som en PHP-udvikler må forstå — det er forskellen mellem en sikker applikation og en, der er sårbar over for et alvorligt, velkendt angreb. (Frameworks som Laravel bruger PDO under motorhjelmen med sikre forespørgselsbyggere/ORM'er, men det underliggende princip forbliver det samme.)