PDO（PHP Data Objects）は、データベースにアクセスするためのPHPのモダンでデータベース非依存なインターフェースです。その最も重要な機能はプリペアドステートメントであり、SQLインジェクションを防ぎます——これはあらゆるデータベースコードにとって極めて重要なセキュリティプラクティスです。
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDOは同じAPIで複数のデータベース（MySQL、PostgreSQL、SQLite など）に対応します。ERRMODE_EXCEPTION を設定すると、データベースエラーがキャッチ可能な例外をスローするようになります。
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
プリペアドステートメントはSQLとデータを別々に送信します——データベースはパラメータを純粋なデータとして扱い、実行可能なSQLとしては決して扱いません。これによって、ユーザーが何を入力しても、インジェクションは不可能になります。これはユーザー入力を含むあらゆるクエリにおいて譲れない原則です。
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
安全なデータベースアクセスはPHP開発において最もセキュリティ上重要な側面の1つであり、プリペアドステートメントを使ったPDOはすべてのPHP開発者が知っておくべき必須のプラクティスです。
SQLインジェクション——信頼できないユーザー入力をSQLクエリに直接連結することで生じる——は、最も一般的で破壊的なWeb脆弱性の1つであり（攻撃者がデータを読み取り、改ざんし、破壊することを許してしまう）、しかも完全に防止可能です。プリペアドステートメントとバインドされたパラメータがその解決策です。SQLの構造とデータを別々に送信することで、データベースはユーザー入力をSQLとして実行されることのない純粋なデータとして扱い、入力に関わらずインジェクションを不可能にします。
ユーザー入力を含むあらゆるクエリでは常にプリペアドステートメントを使わなければならない（決して文字列連結を使わない）ということを理解するのは、譲れない、セキュリティ上必須の知識です。
セキュリティを超えても、PDOのデータベース非依存なインターフェース、例外ベースのエラー処理、柔軟な結果の取得、トランザクションのサポートは、PHPでデータベースにアクセスするための堅牢でモダンな手段となっています。
データベースアクセスはほとんどのアプリケーションにとって基本的であり、SQLインジェクションは一般的かつ壊滅的であるため、PDOとプリペアドステートメントの徹底した規律を習得することは、PHP開発者が理解すべき最も重要な事柄の1つです——それはセキュアなアプリケーションと、よく知られた深刻な攻撃に対して脆弱なアプリケーションとの違いとなります。（Laravel のようなフレームワークは内部でPDOを安全なクエリビルダー／ORMとともに使用しますが、根底にある原則は変わりません。）