PDO (PHP Data Objects) es la interfaz moderna de PHP, agnóstica de bases de datos, para acceder a bases de datos. Su característica más importante son las sentencias preparadas, que previenen la inyección SQL — la práctica de seguridad crítica para cualquier código de base de datos.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO funciona en diferentes bases de datos (MySQL, PostgreSQL, SQLite, etc.) con la misma API. Establecer ERRMODE_EXCEPTION hace que los errores de base de datos lancen excepciones capturables.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Las sentencias preparadas envían el SQL y los datos por separado — la base de datos trata los parámetros como datos puros, nunca como SQL ejecutable. Esto hace que la inyección sea imposible, sin importar lo que el usuario ingrese. Esto es innegociable para cualquier consulta que involucre entrada del usuario.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
El acceso seguro a la base de datos es uno de los aspectos más críticos en seguridad del desarrollo con PHP, y PDO con sentencias preparadas es la práctica esencial que todo desarrollador de PHP debe conocer.
La inyección SQL — causada por concatenar entrada no confiable del usuario directamente en consultas SQL — es una de las vulnerabilidades web más comunes y devastadoras (permitiendo a los atacantes leer, modificar o destruir datos), y es completamente prevenible. Las sentencias preparadas con parámetros vinculados son la solución: al enviar la estructura SQL y los datos por separado, la base de datos trata la entrada del usuario como datos puros que nunca pueden ejecutarse como SQL, haciendo que la inyección sea imposible sin importar la entrada.
Entender que siempre debes usar sentencias preparadas para cualquier consulta que involucre entrada del usuario (nunca concatenación de cadenas) es conocimiento innegociable y esencial para la seguridad.
Más allá de la seguridad, la interfaz agnóstica de bases de datos de PDO, el manejo de errores basado en excepciones, la obtención flexible de resultados y el soporte de transacciones hacen que sea la forma robusta y moderna de acceder a bases de datos en PHP.
Puesto que el acceso a la base de datos es fundamental para la mayoría de las aplicaciones y la inyección SQL es tanto común como catastrófica, dominar PDO y la disciplina absoluta de las sentencias preparadas es una de las cosas más importantes que un desarrollador de PHP debe entender — es la diferencia entre una aplicación segura y una vulnerable a un ataque grave y bien conocido. (Los frameworks como Laravel usan PDO bajo el capó con constructores de consultas seguros/ORMs, pero el principio subyacente sigue siendo el mismo.)