PDO로 데이터베이스에 안전하게 접근하려면 어떻게 하나요?

Question

IT Interview Practice · Accepted Answer

**PDO**(PHP Data Objects)는 데이터베이스에 접근하기 위한 PHP의 현대적이고 데이터베이스 독립적인 인터페이스입니다. 가장 중요한 기능은 **준비된 구문(prepared statement)**으로, **SQL 인젝션**을 방지합니다 — 모든 데이터베이스 코드의 결정적인 보안 관행입니다.

## PDO로 연결하기

```php
<?php
$pdo = new PDO(
    "mysql:host=localhost;dbname=app;charset=utf8mb4",
    $username, $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,    // 오류 시 예외 발생
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // 행을 연관 배열로 가져옴
    ]
);
```

PDO는 데이터베이스(MySQL, PostgreSQL, SQLite 등) 전반에서 동일한 API로 동작합니다. `ERRMODE_EXCEPTION` 설정은 데이터베이스 오류가 잡을 수 있는 예외를 발생시키게 합니다.

## 결정적인 관행: 준비된 구문 (SQL 인젝션 방지)

```php
// ❌ 절대 이렇게 하지 말 것 — 사용자 입력 연결 → SQL 인젝션 취약점
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// 입력 "1 OR 1=1" 또는 "1; DROP TABLE users" → 재앙

// ✅ 항상 바인딩된 매개변수와 함께 준비된 구문을 사용할 것
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]);            // 매개변수가 안전하게 바인딩됨
$user = $stmt->fetch();

// 명명된 매개변수도 동작
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
```

**준비된 구문**은 SQL과 데이터를 분리하여 전송합니다 — 데이터베이스는 매개변수를 순수한 데이터로 취급하고, 결코 실행 가능한 SQL로 취급하지 않습니다. 이로써 사용자가 무엇을 입력하든 인젝션이 **불가능**해집니다. 이는 사용자 입력이 관여하는 모든 쿼리에 타협 불가입니다.

## 결과 가져오기와 기타 작업

```php
$stmt->fetch();         // 한 행 (연관 배열)
$stmt->fetchAll();      // 모든 행
$stmt->fetchColumn();   // 단일 값

// INSERT/UPDATE/DELETE — 역시 준비된 구문 사용
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId();   // 새 행의 ID
```

## 트랜잭션

```php
$pdo->beginTransaction();
try {
    $pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
    $pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
    $pdo->commit();          // 전부 아니면 전무
} catch (Throwable $e) {
    $pdo->rollBack();         // 실패 시 되돌림
}
```

## 왜 중요한가

안전한 데이터베이스 접근은 PHP 개발에서 가장 보안에 결정적인 측면 중 하나이며, **준비된 구문을 사용하는 PDO는 모든 PHP 개발자가 반드시 알아야 할 필수 관행**입니다.

SQL 인젝션 — 신뢰할 수 없는 사용자 입력을 SQL 쿼리에 직접 연결하여 발생 — 은 가장 흔하고 파괴적인 웹 취약점 중 하나이며(공격자가 데이터를 읽고, 수정하고, 파괴할 수 있음), 완전히 예방 가능합니다. 바인딩된 매개변수와 함께하는 **준비된 구문**이 해결책입니다. SQL 구조와 데이터를 분리하여 전송함으로써, 데이터베이스는 사용자 입력을 SQL로 실행될 수 없는 순수한 데이터로 취급하여 입력과 무관하게 인젝션을 불가능하게 만듭니다.

사용자 입력이 관여하는 모든 쿼리에 **항상** 준비된 구문을 사용해야 함(결코 문자열 연결이 아닌)을 이해하는 것은 타협 불가의 보안 필수 지식입니다.

보안을 넘어, PDO의 데이터베이스 독립적 인터페이스, 예외 기반 오류 처리, 유연한 결과 가져오기, 트랜잭션 지원은 이를 PHP에서 데이터베이스에 접근하는 견고하고 현대적인 방식으로 만듭니다.

데이터베이스 접근은 대부분의 애플리케이션에 기초적이고 SQL 인젝션은 흔하고도 치명적이므로, PDO와 준비된 구문의 절대적 규율을 숙달하는 것은 PHP 개발자가 이해해야 할 가장 중요한 것 중 하나입니다 — 안전한 애플리케이션과 심각하고 잘 알려진 공격에 취약한 애플리케이션의 차이입니다. (Laravel 같은 프레임워크는 안전한 쿼리 빌더/ORM과 함께 내부적으로 PDO를 사용하지만, 근본 원칙은 여전히 유효합니다.)

PDO로 연결하기

결정적인 관행: 준비된 구문 (SQL 인젝션 방지)

결과 가져오기와 기타 작업

트랜잭션

왜 중요한가

관련 질문