PDO (PHP Data Objects) est l'interface moderne et agnostique de PHP pour accéder aux bases de données. Sa fonctionnalité la plus importante est les requêtes préparées, qui préviennent les injections SQL — la pratique de sécurité critique pour tout code accédant à une base de données.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO fonctionne sur les différentes bases de données (MySQL, PostgreSQL, SQLite, etc.) avec la même API. Définir ERRMODE_EXCEPTION fait que les erreurs de base de données lèvent des exceptions capturables.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Les requêtes préparées envoient le SQL et les données séparément — la base de données traite les paramètres comme des données pures, jamais comme du SQL exécutable. Cela rend l'injection impossible, peu importe ce que l'utilisateur saisit. C'est non négociable pour toute requête impliquant une entrée utilisateur.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
L'accès sécurisé à la base de données est l'un des aspects les plus critiques du développement PHP en termes de sécurité, et PDO avec requêtes préparées est la pratique essentielle que chaque développeur PHP doit connaître.
L'injection SQL — causée par la concaténation directe d'entrées utilisateur non fiables dans les requêtes SQL — est l'une des vulnérabilités web les plus communes et les plus dévastatrices (permettant aux attaquants de lire, modifier ou détruire des données), et elle est entièrement évitable. Les requêtes préparées avec paramètres liés sont la solution : en envoyant la structure SQL et les données séparément, la base de données traite l'entrée utilisateur comme des données pures qui ne peuvent jamais être exécutées en tant que SQL, rendant l'injection impossible peu importe l'entrée.
Comprendre que vous devez toujours utiliser des requêtes préparées pour toute requête impliquant une entrée utilisateur (jamais de concaténation de chaînes) est une connaissance essentielle non négociable en matière de sécurité.
Au-delà de la sécurité, l'interface agnostique de PDO, la gestion des erreurs basée sur les exceptions, la récupération flexible des résultats et le support des transactions en font le moyen moderne et robuste d'accéder aux bases de données en PHP.
Comme l'accès à la base de données est fondamental pour la plupart des applications et l'injection SQL est à la fois commune et catastrophique, maîtriser PDO et la discipline absolue des requêtes préparées est parmi les choses les plus importantes qu'un développeur PHP doit comprendre — c'est la différence entre une application sécurisée et une application vulnérable à une attaque sérieuse et bien connue. (Les frameworks comme Laravel utilisent PDO sous le capot avec des constructeurs de requêtes sécurisés/ORMs, mais le principe sous-jacent reste le même.)