तपाइँ PDO को साथ डेटाबेस सुरक्षित तरीकाले कसरी पहुँच गर्नुहुन्छ?

Question

Accepted Answer

**PDO** (PHP Data Objects) PHP को आधुनिक, डेटाबेस-अज्ञेयवादी इन्टरफेस हो जो डेटाबेसहरू पहुँच गर्नको लागि प्रयोग हुन्छ। यसको सबैभन्दा महत्त्वपूर्ण विशेषता **prepared statements** हो, जसले **SQL injection** रोक्छ — यो कुनै पनी डेटाबेस कोडको लागि महत्त्वपूर्ण सुरक्षा अभ्यास हो।

## PDO को साथ जडान गरिरहेक

```php
<?php
$pdo = new PDO(
    "mysql:host=localhost;dbname=app;charset=utf8mb4",
    $username, $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,    // throw exceptions on errors
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // fetch rows as associative arrays
    ]
);
```

PDO विभिन्न डेटाबेसहरू (MySQL, PostgreSQL, SQLite, आदि) मा एकै API को साथ काम गर्छ। `ERRMODE_EXCEPTION` सेट गर्नुले डेटाबेस त्रुटिहरूलाई पकडिने अपवादहरू फेंकाउन बनाउँछ।

## महत्त्वपूर्ण अभ्यास: prepared statements (SQL injection रोक्नुहोस्)

```php
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster

// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]);            // parameters bound SAFELY
$user = $stmt->fetch();

// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
```

**Prepared statements** SQL र डेटा अलग-अलग पठाउँछ — डेटाबेसले प्यारामिटरहरूलाई शुद्ध डेटाको रूपमा बिचार गर्छ, कहिले पनी कार्यान्वयनयोग्य SQL को रूपमा होइन। यसले इञ्जेक्शनलाई **असम्भव** बनाउँछ, चाहे प्रयोगकर्ताले के इनपुट गरे। यो कुनै पनी प्रश्नको लागि अपरिहार्य हो जसमा प्रयोगकर्ताको इनपुट समावेश छ।

## परिणामहरू लिने र अन्य कार्यहरू

```php
$stmt->fetch();         // one row (associative array)
$stmt->fetchAll();      // all rows
$stmt->fetchColumn();   // a single value

// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId();   // the new row's ID
```

## लेनदेनहरू

```php
$pdo->beginTransaction();
try {
    $pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
    $pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
    $pdo->commit();          // all-or-nothing
} catch (Throwable $e) {
    $pdo->rollBack();         // undo on failure
}
```

## यो किन महत्त्वपूर्ण छ

सुरक्षित डेटाबेस पहुँच PHP विकासको सबैभन्दा सुरक्षा-महत्त्वपूर्ण पहलूहरू मध्ये एक हो, र **prepared statements सहित PDO आवश्यक अभ्यास** हो जुन प्रत्येक PHP विकासकर्ताले जान्नुपर्छ।

SQL injection — विश्वस्त नभएको प्रयोगकर्ताको इनपुटलाई सीधै SQL प्रश्नहरूमा जोडेर गरिएको — सबैभन्दा सामान्य र विनाशकारी वेब असुरक्षाहरू मध्ये एक हो (आक्रमणकारीहरूलाई डेटा पढ्न, परिमार्जन गर्न, वा नष्ट गर्न अनुमति दिन्छ), र यो पूर्ण रूपमा रोकिने योग्य छ। **Prepared statements** बाध्य प्यारामिटरहरू सहित समाधान हो: SQL संरचना र डेटा अलग-अलग पठाएर, डेटाबेसले प्रयोगकर्ताको इनपुटलाई शुद्ध डेटाको रूपमा बिचार गर्छ जुन कहिले पनी SQL को रूपमा कार्यान्वयन हुन सक्दैन, जसले इनपुट निर्विशेष इञ्जेक्शनलाई असम्भव बनाउँछ।

यो बुझ्नु कि तपाइँले कुनै पनी प्रश्नको लागि **सधैं** prepared statements प्रयोग गर्नुपर्छ जसमा प्रयोगकर्ताको इनपुट समावेश छ (कहिले पनी string concatenation होइन) यो अपरिहार्य, सुरक्षा-आवश्यक ज्ञान हो।

सुरक्षाको परे, PDO को डेटाबेस-अज्ञेयवादी इन्टरफेस, अपवाद-आधारित त्रुटि हेरफेर, लचकदार परिणाम लिने, र लेनदेन समर्थन यसलाई PHP मा डेटाबेसहरू पहुँच गर्नको मजबूत, आधुनिक तरीका बनाउँछ।

डेटाबेस पहुँच अधिकांश अनुप्रयोगहरूको लागि मौलिक भएकोले र SQL injection सामान्य र विनाशकारी दुवै भएकोले, PDO र prepared statements को निरपेक्ष अनुशासन आवश्यक कुराहरू माझै सबैभन्दा महत्त्वपूर्ण कुरा हो जुन PHP विकासकर्ताले बुझ्नुपर्छ — यो सुरक्षित अनुप्रयोग र गम्भीर, प्रसिद्ध आक्रमणको लागि असुरक्षित अनुप्रयोगको बीचको फरक हो। (Laravel जस्ता फ्रेमवर्कहरू PDO लाई सुरक्षित प्रश्न निर्माता/ORM सहित हुडको तल प्रयोग गर्छन्, तर अन्तर्निहित सिद्धान्त रहन्छ।)