PDO (PHP Data Objects) adalah antarmuka modern PHP yang database-agnostik untuk mengakses database. Fitur terpentingnya adalah prepared statements, yang mencegah SQL injection — praktik keamanan kritis untuk kode database apa pun.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO bekerja di berbagai database (MySQL, PostgreSQL, SQLite, dll.) dengan API yang sama. Mengatur ERRMODE_EXCEPTION membuat error database melempar exception yang dapat ditangkap.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements mengirim SQL dan data secara terpisah — database memperlakukan parameter sebagai data murni, tidak pernah sebagai SQL yang dapat dieksekusi. Ini membuat injection tidak mungkin, terlepas dari input pengguna apa pun. Ini tidak dapat ditawar untuk query apa pun yang melibatkan input pengguna.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Akses database yang aman adalah salah satu aspek paling kritis untuk keamanan pengembangan PHP, dan PDO dengan prepared statements adalah praktik esensial yang harus diketahui setiap pengembang PHP.
SQL injection — disebabkan oleh penggabungan input pengguna yang tidak terpercaya langsung ke dalam query SQL — adalah salah satu kerentanan web paling umum dan paling menghancurkan (memungkinkan penyerang membaca, memodifikasi, atau menghancurkan data), dan ini sepenuhnya dapat dicegah. Prepared statements dengan parameter terikat adalah solusinya: dengan mengirim struktur SQL dan data secara terpisah, database memperlakukan input pengguna sebagai data murni yang tidak pernah dapat dieksekusi sebagai SQL, membuat injection tidak mungkin terlepas dari input apa pun.
Memahami bahwa Anda harus selalu menggunakan prepared statements untuk query apa pun yang melibatkan input pengguna (tidak pernah string concatenation) adalah pengetahuan yang tidak dapat ditawar dan penting untuk keamanan.
Beyond keamanan, antarmuka database-agnostik PDO, penanganan error berbasis exception, pengambilan hasil yang fleksibel, dan dukungan transaksi menjadikannya cara yang robust dan modern untuk mengakses database di PHP.
Karena akses database adalah fundamental untuk sebagian besar aplikasi dan SQL injection sangat umum dan katastropik, menguasai PDO dan disiplin absolut dari prepared statements adalah salah satu hal paling penting yang harus dipahami pengembang PHP — ini adalah perbedaan antara aplikasi yang aman dan yang rentan terhadap serangan yang terkenal dan serius. (Framework seperti Laravel menggunakan PDO di bawah tenda dengan query builders/ORMs yang aman, tetapi prinsip dasarnya tetap sama.)