PDO (PHP Data Objects) a PHP modern, adatbázis-agnosztikus felülete az adatbázisokhoz való hozzáféréshez. Legfontosabb tulajdonsága az előkészített utasítások (prepared statements), amelyek megakadályozzák az SQL-injektálást — a kritikus biztonsági gyakorlat bármilyen adatbázis-kódhoz.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
A PDO az adatbázisok között működik (MySQL, PostgreSQL, SQLite, stb.) ugyanazzal az API-val. Az ERRMODE_EXCEPTION beállítása azt eredményezi, hogy az adatbázis-hibák elkapható kivételeket dobnak.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Az előkészített utasítások külön küldik az SQL-t és az adatokat — az adatbázis a paramétereket tiszta adatként kezeli, soha nem végrehajtható SQL-ként. Ez lehetetlenné teszi az injektálást, függetlenül attól, hogy a felhasználó mit ad be. Ez megkövetelhető minden olyan lekérdezéshez, amely felhasználói inputot tartalmaz.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
A biztonságos adatbázis-hozzáférés a PHP-fejlesztés egyik legkritikusabb biztonsági aspektusa, és a PDO előkészített utasításokkal történő használata az alapvető gyakorlat, amelyet minden PHP-fejlesztőnek ismernie kell.
Az SQL-injektálás — amelyet a megbízhatatlan felhasználói input közvetlen összefűzésével okoznak az SQL-lekérdezésekbe — az egyik legelterjedtebb és legkárosabb webes sebezhetőség (amely lehetővé teszi a támadók számára az adatok olvasását, módosítását vagy megsemmisítését), és teljes mértékben megelőzhető. Az előkészített utasítások kötött paraméterekkel a megoldás: az SQL-szerkezet és az adatok külön küldésével az adatbázis a felhasználói inputot tiszta adatként kezeli, amely soha nem hajtható végre SQL-ként, így az injektálás lehetetlen, függetlenül az inputtól.
Annak megértése, hogy mindig előkészített utasításokat kell használnia minden olyan lekérdezéshez, amely felhasználói inputot tartalmaz (soha nem sztring-összefűzést), megkövetelhető, biztonsági szempontból lényeges tudás.
A biztonság mellett a PDO adatbázis-agnosztikus felülete, kivételalapú hibakezelése, rugalmas eredménylekérése és tranzakció-támogatása a robusztus, modern módját képezi az adatbázisokhoz való hozzáférésnek a PHP-ben.
Mivel az adatbázis-hozzáférés alapvetően fontosnak bizonyul a legtöbb alkalmazásnál, és az SQL-injektálás mind gyakori, mind katasztrofális, a PDO és az előkészített utasítások abszolút fegyelme elsajátítása a legfontosabb dolgok közé tartozik, amelyeket a PHP-fejlesztőnek meg kell értenie — ez a különbség egy biztonságos alkalmazás és egy súlyos, jól ismert támadásra hajlamos alkalmazás között. (Az olyan keretrendszerek, mint a Laravel, a PDO-t használják a háttérben biztonságos lekérdezésépítőkkel/ORM-ekkel, de az alapvető elv megmarad.)