PDO (PHP Data Objects) on PHPin moderni, tietokantariippumaton liittymä tietokantojen käyttämiseen. Sen tärkein ominaisuus on prepared statements (valmisteltu lauseet), jotka estävät SQL-injektio-hyökkäykset — kriittinen turvallisuuskäytäntö kaikissa tietokantakoodia käyttävissä sovelluksissa.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO toimii useissa tietokannoissa (MySQL, PostgreSQL, SQLite jne.) samalla ohjelmointirajapinnalla. Asetus ERRMODE_EXCEPTION tekee tietokantavirheistä poikkeuksia, jotka voidaan siepata.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Valmistelut lauseet lähettävät SQL:n ja tiedot erikseen — tietokanta käsittelee parametreja puhtaina tietoina, ei koskaan suoritettavina SQL-käskynä. Tämä tekee injektiosta mahdottoman, riippumatta siitä, mitä käyttäjä syöttää. Tämä on välttämätöntä kaikissa kyselyissä, jotka sisältävät käyttäjän syötettä.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Turvallinen tietokannan käyttäminen on yksi PHPin kehityksen turvallisuuskriittisimmistä näkökohdista, ja PDO valmisteltujen lauseiden kanssa on olennainen käytäntö, jonka jokaisen PHP-kehittäjän on tunuttava.
SQL-injektio — joka aiheutuu luottamattoman käyttäjän syötteen yhdistämisestä suoraan SQL-kyselyihin — on yksi yleisimmistä ja tuhoavimmista web-haavoittuvuuksista (antaa hyökkääjille mahdollisuuden lukea, muokata tai tuhota tietoja), ja se on täysin estävissä. Valmistelut lauseet sidottujen parametrien kanssa ovat ratkaisu: lähettämällä SQL-rakenne ja tiedot erikseen, tietokanta käsittelee käyttäjän syötettä puhtaina tietoina, joita ei koskaan voi suorittaa SQL:nä, joten injektio on mahdotonta riippumatta syötteestä.
Ymmärtäminen, että sinun on aina käytettävä valmisteltuja lauseita kaikissa kyselyissä, jotka sisältävät käyttäjän syötteen (ei koskaan merkkijonon ketjutusta), on välttämätöntä turvallisuustietoa.
Turvaisuuden lisäksi PDO:n tietokantariippumaton liittymä, poikkeuksiin perustuva virheenkäsittely, joustava tulosten hakeminen ja tapahtumien tuki tekevät siitä kestävän, modernin tavan käyttää tietokantoja PHP:ssä.
Koska tietokannan käyttäminen on perustavanlaatuista useimmissa sovelluksissa ja SQL-injektio on sekä yleinen että tuhoava, PDO:n ja valmisteltujen lauseiden ehdottoman kurinalaisuuden hallitseminen on yksi tärkeimmistä asioista, jotka PHP-kehittäjän on ymmärrettävä — se on ero turvallisen sovelluksen ja vakavan, tunnetun hyökkäyksen kohteeksi joutuneen sovelluksen välillä. (Kehykset kuten Laravel käyttävät PDO:ta taustalla turvallisilla kyselyiden rakentajilla/ORM-malleilla, mutta taustalla oleva periaate pysyy samana.)