PDO (PHP Data Objects) είναι η σύγχρονη, ανεξάρτητη από βάσεις δεδομένων διεπαφή του PHP για πρόσβαση σε βάσεις δεδομένων. Το πιο σημαντικό χαρακτηριστικό του είναι οι prepared statements, που αποτρέπουν SQL injection — η κρίσιμη πρακτική ασφάλειας για οποιονδήποτε κώδικα βάσης δεδομένων.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
Το PDO λειτουργεί σε όλες τις βάσεις δεδομένων (MySQL, PostgreSQL, SQLite, κ.λπ.) με το ίδιο API. Ορίζοντας ERRMODE_EXCEPTION κάνει τα σφάλματα της βάσης δεδομένων να ρίχνουν ληφθείσες εξαιρέσεις.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Οι prepared statements στέλνουν το SQL και τα δεδομένα χωριστά — η βάση δεδομένων αντιμετωπίζει τις παραμέτρους ως καθαρά δεδομένα, ποτέ ως εκτελέσιμο SQL. Αυτό κάνει την ένεση αδύνατη, ανεξάρτητα από αυτό που εισάγει ο χρήστης. Αυτό είναι μη διαπραγματεύσιμο για οποιοδήποτε ερώτημα που περιλαμβάνει δεδομένα που εισάγει ο χρήστης.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Η ασφαλής πρόσβαση στη βάση δεδομένων είναι ένα από τα πιο κρίσιμα θέματα ασφάλειας της ανάπτυξης PHP, και το PDO με prepared statements είναι η απαραίτητη πρακτική που πρέπει να γνωρίζει κάθε PHP developer.
Το SQL injection — που προκαλείται από τη σύνδεση μη αξιόπιστης εισόδου χρήστη απευθείας σε ερωτήματα SQL — είναι ένα από τα πιο συνηθισμένα και καταστροφικά web vulnerabilities (επιτρέποντας στους επιτιθέμενους να διαβάσουν, να τροποποιήσουν ή να καταστρέψουν δεδομένα), και είναι εντελώς αποτρέψιμο. Τα prepared statements με δεσμευμένες παραμέτρους είναι η λύση: στέλνοντας την SQL δομή και τα δεδομένα χωριστά, η βάση δεδομένων αντιμετωπίζει την εισαγωγή χρήστη ως καθαρά δεδομένα που δεν μπορούν ποτέ να εκτελεστούν ως SQL, κάνοντας την ένεση αδύνατη ανεξάρτητα από την εισαγωγή.
Το να κατανοείτε ότι πρέπει πάντα να χρησιμοποιείτε prepared statements για οποιοδήποτε ερώτημα που περιλαμβάνει δεδομένα χρήστη (ποτέ concatenation συμβολοσειρών) είναι μη διαπραγματεύσιμη, γνώση που είναι απαραίτητη για την ασφάλεια.
Πέρα από την ασφάλεια, η ανεξάρτητη διεπαφή PDO από βάσεις δεδομένων, η επεξεργασία σφαλμάτων βάσει εξαιρέσεων, η ευέλικτη ανάκτηση αποτελεσμάτων και η υποστήριξη συναλλαγών κάνουν τον robust, σύγχρονο τρόπο πρόσβασης σε βάσεις δεδομένων στο PHP.
Επειδή η πρόσβαση σε βάσεις δεδομένων είναι θεμελιώδης για τις περισσότερες εφαρμογές και το SQL injection είναι τόσο συνηθισμένο όσο καταστροφικό, η κατακτήση του PDO και της απόλυτης πειθαρχίας των prepared statements είναι ένα από τα σημαντικότερα πράγματα που πρέπει να κατανοήσει ένας PHP developer — είναι η διαφορά μεταξύ μιας ασφαλούς εφαρμογής και μιας που είναι ευάλωτη σε μια σοβαρή, γνωστή επίθεση. (Frameworks όπως το Laravel χρησιμοποιούν το PDO κάτω από την επιφάνεια με ασφαλείς query builders/ORMs, αλλά η υποκείμενη αρχή παραμένει.)