PDO (PHP Data Objects) huwa l-interface moderna ta' PHP, database-agnostic, għall-aċċess għad-databases. L-iktar karatteristika importanti tiegħu hija prepared statements, li jipprevjenu SQL injection — il-prattika kruċjali tal-sigurtà għal kwalunkwe kodiċi ta' database.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO jaħdem fuq d-databases (MySQL, PostgreSQL, SQLite, eċċ.) bl-istess API. It-setting ta' ERRMODE_EXCEPTION jagħmel li l-iżbaljiet ta' database irridu eċċezzjonijiet li jkunu catċjabli.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements jibagħtu l-SQL u d-data separatament — id-database jittratta l-parametri bħala data pura, qatt mhu bħala SQL esekuttabbli. Dan jagħmel l-injection impossibbli, indipendentement minn x'jinpu l-utent. Dan huwa non-negotiable għal kwalunkwe query li jinvolvi input ta' utent.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
L-aċċess sikur għad-database huwa wieħed mill-aspetti l-iktar krittiċi għas-sigurtà tal-iżvilupp ta' PHP, u PDO b'prepared statements huwa l-prattika essenzjali li kull żviluppatur ta' PHP jrid ikollu.
SQL injection — ikkawżata billi tkun concatenata input tal-utent mhux affidabbli direttament f'queries ta' SQL — huwa wieħed mill-aktar vulnerabbilitajiet komuni u devastanti tal-web (li tippermetti lill-attakkaturi jaqraw, imodifikaw, jew jiddistruggaw data), u huwa kompletament prevenibbli. Prepared statements b'parametri bound huma s-soluzzjoni: billi tibgħat il-struttura ta' SQL u d-data separatament, id-database jittratta l-input tal-utent bħala data pura li qatt ma tistax tiġi eseċuita bħala SQL, u dan jagħmel l-injection impossibbli indipendentement mill-input. ". L-għarif li inti għandek tuża prepared statements għal kwalunkwe query li jinvolvi input ta' utent (qatt mhu string concatenation) huwa non-negotiable, sigurtà-essenzjali tal-għarif. ").iftaħ mir-riżultati, interface database-agnostic ta' PDO, error handling ibbażat fuq eċċezzjonijiet, iftar flessibli ta' riżultati, u appoġġ ta' transazzjonijiet jagħmluh il-mod robust u modern biex taċċessa d-databases f'PHP.
Peċċè l-aċċess għad-database huwa fundamentali għall-aktar applikazzjonijiet u SQL injection huwa komuni u katastrofiku, iċ-ċens tal-PDO u d-dixxiplina assoluta ta' prepared statements huwa fost l-iktar affarijiet importanti li żviluppatur ta' PHP jrid jifhem — huwa d-differenza bejn applikazzjoni sikura u waħda vulnerabbli għal attakk serjuż u magħruf. (Frameworks bħal Laravel jużaw PDO taħt il-cover b'query builders/ORMs sikuri, imma l-prinċipju sottostanti jibqa' l-istess.)