PDO (PHP Data Objects) ialah antara muka PHP yang moden dan agnostik-pangkalan data untuk mengakses pangkalan data. Ciri terpentingnya ialah prepared statement, yang mencegah SQL injection — amalan keselamatan kritikal untuk mana-mana kod pangkalan data.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO berfungsi merentas pangkalan data (MySQL, PostgreSQL, SQLite, dll.) dengan API yang sama. Menetapkan ERRMODE_EXCEPTION membuatkan ralat pangkalan data membaling exception yang boleh ditangkap.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statement menghantar SQL dan data secara berasingan — pangkalan data memperlakukan parameter sebagai data tulen, tidak pernah sebagai SQL yang boleh dilaksanakan. Ini menjadikan injection mustahil, tidak kira apa yang dimasukkan pengguna. Ini tidak boleh dirunding untuk sebarang query yang melibatkan input pengguna.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Akses pangkalan data yang selamat ialah salah satu aspek pembangunan PHP yang paling kritikal-keselamatan, dan PDO dengan prepared statement ialah amalan penting yang mesti diketahui oleh setiap pembangun PHP.
SQL injection — disebabkan oleh menggabungkan input pengguna yang tidak dipercayai terus ke dalam query SQL — ialah salah satu kelemahan web yang paling biasa dan memusnahkan (membenarkan penyerang membaca, mengubah suai, atau memusnahkan data), dan ia boleh dicegah sepenuhnya. Prepared statement dengan parameter terikat ialah penyelesaiannya: dengan menghantar struktur SQL dan data secara berasingan, pangkalan data memperlakukan input pengguna sebagai data tulen yang tidak pernah boleh dilaksanakan sebagai SQL, menjadikan injection mustahil tidak kira inputnya.
Memahami bahawa anda mesti sentiasa menggunakan prepared statement untuk sebarang query yang melibatkan input pengguna (tidak pernah penggabungan string) ialah pengetahuan yang tidak boleh dirunding dan penting-keselamatan.
Melangkaui keselamatan, antara muka PDO yang agnostik-pangkalan data, pengendalian ralat berasaskan exception, pengambilan hasil yang fleksibel, dan sokongan transaction menjadikannya cara yang teguh dan moden untuk mengakses pangkalan data dalam PHP.
Memandangkan akses pangkalan data adalah asas kepada kebanyakan aplikasi dan SQL injection adalah kedua-dua biasa dan dahsyat, menguasai PDO dan disiplin mutlak prepared statement adalah antara perkara terpenting yang mesti difahami oleh pembangun PHP — ia adalah perbezaan antara aplikasi yang selamat dan satu yang terdedah kepada serangan yang serius dan terkenal. (Framework seperti Laravel menggunakan PDO di belakang tabir dengan query builder/ORM yang selamat, tetapi prinsip asasnya kekal.)