PDO (PHP Data Objects) databases को एक्सेस करने के लिए PHP का आधुनिक, database-agnostic interface है। इसकी सबसे महत्वपूर्ण feature prepared statements है, जो SQL injection को रोकती है — किसी भी database code के लिए निर्णायक security अभ्यास।
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO समान API के साथ databases (MySQL, PostgreSQL, SQLite, आदि) में काम करता है। ERRMODE_EXCEPTION सेट करना database errors को catchable exceptions throw करवाता है।
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements SQL और data को अलग-अलग भेजते हैं — database parameters को शुद्ध data के रूप में मानता है, कभी भी executable SQL के रूप में नहीं। यह injection को असंभव बनाता है, चाहे user कुछ भी input करे। user input शामिल किसी भी query के लिए यह गैर-समझौता योग्य है।
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
सुरक्षित database access PHP development के सबसे security-critical पहलुओं में से एक है, और prepared statements के साथ PDO वह आवश्यक अभ्यास है जो हर PHP developer को जानना चाहिए।
SQL injection — अविश्वसनीय user input को सीधे SQL queries में concatenate करने से उत्पन्न — सबसे आम और विनाशकारी web vulnerabilities में से एक है (attackers को data पढ़ने, संशोधित करने, या नष्ट करने की अनुमति देता है), और यह पूरी तरह से रोका जा सकता है। bound parameters के साथ prepared statements समाधान हैं: SQL structure और data को अलग-अलग भेजकर, database user input को शुद्ध data के रूप में मानता है जिसे कभी भी SQL के रूप में execute नहीं किया जा सकता, जो injection को input की परवाह किए बिना असंभव बनाता है।
यह समझना कि आपको user input शामिल किसी भी query के लिए हमेशा prepared statements का उपयोग करना चाहिए (कभी भी string concatenation नहीं) गैर-समझौता योग्य, security के लिए आवश्यक ज्ञान है।
security से परे, PDO का database-agnostic interface, exception-based error handling, flexible result fetching, और transaction support इसे PHP में databases को एक्सेस करने का robust, आधुनिक तरीका बनाते हैं।
चूँकि database access अधिकांश applications के लिए मौलिक है और SQL injection आम और विनाशकारी दोनों है, PDO और prepared statements के पूर्ण अनुशासन में महारत हासिल करना उन सबसे महत्वपूर्ण चीज़ों में से एक है जिन्हें एक PHP developer को समझना चाहिए — यह एक सुरक्षित application और एक गंभीर, सुप्रसिद्ध attack के प्रति असुरक्षित application के बीच का अंतर है। (Laravel जैसे frameworks सुरक्षित query builders/ORMs के साथ अंदर PDO का उपयोग करते हैं, लेकिन अंतर्निहित सिद्धांत बना रहता है।)