როგორ ხელმისაწვდომელი ხარ მონაცემთა ბაზას უსაფრთხოდ PDO-ით?

Question

Accepted Answer

**PDO** (PHP Data Objects) არის PHP-ის თანამედროვე, მონაცემთა ბაზისგან დამოუკიდებელი ინტერფეისი მონაცემთა ბაზების ხელმისაწვდომობისთვის. მისი ყველაზე მნიშვნელოვანი ფუნქცია არის **მომზადებული ინსტრუქციები** (prepared statements), რომლებიც პრევენციას უკეთებენ **SQL injection**-ს — კრიტიკული უსაფრთხოების პრაქტიკა ნებისმიერი მონაცემთა ბაზის კოდისთვის.

## PDO-ზე დაკავშირება

```php
<?php
$pdo = new PDO(
    "mysql:host=localhost;dbname=app;charset=utf8mb4",
    $username, $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,    // throw exceptions on errors
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // fetch rows as associative arrays
    ]
);
```

PDO მუშაობს მონაცემთა ბაზებზე (MySQL, PostgreSQL, SQLite და სხვა) ერთი და იგივე API-ს მეშვეობით. `ERRMODE_EXCEPTION` დაყენება მონაცემთა ბაზის ошибками გამოიწვევს ჩაჭიდული გამონაკლისებს.

## კრიტიკული პრაქტიკა: მომზადებული ინსტრუქციები (SQL injection-ის პრევენცია)

```php
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster

// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]);            // parameters bound SAFELY
$user = $stmt->fetch();

// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
```

**მომზადებული ინსტრუქციები** SQL-ს და მონაცემებს ცალ-ცალკე აგზავნის — მონაცემთა ბაზა პარამეტრებს მხოლოდ სუფთა მონაცემებად განიხილავს, არასოდეს როგორც შესასრულებელი SQL-ს. ეს injection-ს **შეუძლებელს** ხდის, მიუხედავად იმისა, რა შემოჰყავს მომხმარებელმა. ეს გადაუმრახველია ნებისმიერი შეკითხვისთვის, რომელიც მომხმარებლის ინფორმაციას მოიცავს.

## შედეგების მოპოვება და სხვა ოპერაციები

```php
$stmt->fetch();         // one row (associative array)
$stmt->fetchAll();      // all rows
$stmt->fetchColumn();   // a single value

// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId();   // the new row's ID
```

## ტრანზაქციები

```php
$pdo->beginTransaction();
try {
    $pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
    $pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
    $pdo->commit();          // all-or-nothing
} catch (Throwable $e) {
    $pdo->rollBack();         // undo on failure
}
```

## რატომ მნიშვნელოვანია ეს

უსაფრთხო მონაცემთა ბაზის ხელმისაწვდომობა PHP-ის განვითარების ერთ-ერთი ყველაზე უსაფრთხოების-კრიტიკული ასპექტი, და **PDO მომზადებული ინსტრუქციებით არის ყველა PHP-ის დეველოპერის ცოდნის აუცილებელი პრაქტიკა**.

SQL injection — გამოწვეული მიუ신ჯური მომხმარებლის ინფორმაციის პირდაპირ SQL-ის შეკითხვებში გაერთიანებით — არის ერთ-ერთი ყველაზე გავრცელებული და დამღუპველი ვებ-დაზიანება (რაც თავდამტეხელებს აძლევს მონაცემების წაკითხვის, შეცვლის ან გაუქმების უფლებას), და ეს სრულიად თავიდან აცილებადია. **მომზადებული ინსტრუქციები** მიბმული პარამეტრებით არის გამოსავალი: SQL-ის სტრუქტურა და მონაცემები ცალ-ცალკე გაგზავნით, მონაცემთა ბაზა მომხმარებლის ინფორმაციას მხოლოდ სუფთა მონაცემებად განიხილავს, რომელიც არასოდეს შეიძლება იყოს შესასრულებელი SQL-ი, რაც injection-ს შეუძლებელს ხდის მიუხედავად ინფორმაციისა.

h ის, რომ თქვენ უნდა **ყოველთვის** გამოიყენოთ მომზადებული ინსტრუქციები ნებისმიერი შეკითხვისთვის, რომელიც მომხმარებლის ინფორმაციას მოიცავს (არასოდეს სტრიქონის გაერთიანება), არის გადაუმრახველი, უსაფრთხოების აუცილებელი ცოდნა.

უსაფრთხოების მიღმა, PDO-ის მონაცემთა ბაზისგან დამოუკიდებელი ინტერფეისი, გამონაკლისების საფუძველზე შეცდომის მოხელვა, მოქნილი შედეგების მოპოვება და ტრანზაქციის მხარდამჭერობა PDO-ს მონაცემთა ბაზების წვდომის მყარ, თანამედროვე გზას ხდის.

მონაცემთა ბაზის წვდომა ფუნდამენტური აქტივობა უმეტესობის აპლიკაციებისთვის და SQL injection ერთდროულად გავრცელებული და კატასტროფალური, PDO-ის და მომზადებული ინსტრუქციების აბსოლუტური დისციპლინის დაუფლება PHP-ის დეველოპერის უმნიშვნელოვანესი რამ, რომელიც უნდა გაიგოთ — ეს არის სხვაობა უსაფრთხო აპლიკაციისა და სერიოზული, ცნობილი თავდასხმის მიმართ დაუცველი აპლიკაციას შორის. (ფრეიმვორკი Laravel იყენებს PDO-ს ფსკიდან დაკრძალული უსაფრთხო შეკითხვის სტროილებლებით/ORMs-ებით, მაგრამ ძირითადი პრინციპი რჩება.)