PDO (PHP Data Objects) yra PHP šiuolaikinė, nuo duomenų bazės nepriklausoma sąsaja duomenų bazėms pasiekti. Svarbiausia jos funkcija yra paruošti sakiniai (prepared statements), kurie apsaugo nuo SQL injekcijos — kritinio saugumo praktika bet kuriam duomenų bazės kodui.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO veikia su skirtingomis duomenų bazėmis (MySQL, PostgreSQL, SQLite ir kt.) naudodama tą pačią API. Nustatant ERRMODE_EXCEPTION, duomenų bazės klaidos išmetamos kaip gaudytos išimtys.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Paruošti sakiniai siunčia SQL ir duomenis atskirai — duomenų bazė traktuoja parametrus kaip grynai duomenis, niekada kaip vykdomą SQL. Tai daro injekciją neįmanoma, nepriklausomai nuo to, ką įveda vartotojas. Tai nenegociuojama praktika bet kuriai užklausai, susijusiai su vartotojo įvedimu.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Saugus duomenų bazės pasiekimas yra vienas iš labiausiai saugumo svarbių PHP programavimo aspektų, o PDO su paruoštais sakiniais yra esminė praktika, kurią turi žinoti kiekvienas PHP programuotojas.
SQL injekcija — sukelta tiesioginiu nepatikimų vartotojo įvesties sujungimu į SQL užklausas — yra viena iš labiausiai paplitusių ir žalingiausių žiniatinklio pažeidžiamumų (leidžiant užpuolikams skaityti, keisti arba sunaikinti duomenis), ir ji yra visiškai išvengiama. Paruošti sakiniai su susieti parametrais yra sprendimas: siunčiant SQL struktūrą ir duomenis atskirai, duomenų bazė traktuoja vartotojo įvestį kaip grynai duomenis, kurie niekada negali būti vykdomi kaip SQL, dėl to injekcija tampa neįmanoma nepriklausomai nuo įvesties.
Supratimas, kad turite visada naudoti paruoštus sakinius bet kuriai užklausai, susijusiai su vartotojo įvedimu (niekada naudoti eilučių sujungimą), yra nenegociuojama, saugumui esminė žinios.
Be saugumo, PDO duomenų bazę negrįžtantioji sąsaja, išimčių pagrįstoji klaidų tvarkyba, lanki rezultatų gavinėjimo funkcionalumas ir tranzakcijų palaikymas daro ją tvirta, šiuolaikine duomenų bazės prieigos forma PHP.
Kadangi duomenų bazės prieiga yra esminė daugumai programų ir SQL injekcija yra tiek paplitusi, tiek katastrofiška, PDO ir absoliučia paruoštų sakinių disciplina valdymas — tai vienas iš svarbiausių dalykų, kuriuos turi suprasti PHP programuotojas — tai skirtumas tarp saugios programos ir programos, pažeidžiamos rimtu, gerai žinomu atakom. (Sistemos kaip Laravel naudoja PDO po kapotu su saugiais užklausų konstruktoriais/ORM, tačiau pagrindinis principas išlieka.)