PDO (PHP Data Objects) is de moderne, database-onafhankelijke interface van PHP voor het benaderen van databases. Het belangrijkste kenmerk is prepared statements, die SQL injection voorkomen — de essentiële beveiligingspraktijk voor alle databasecode.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO werkt in alle databases (MySQL, PostgreSQL, SQLite, etc.) met dezelfde API. Het instellen van ERRMODE_EXCEPTION zorgt ervoor dat databasefouten vangbare uitzonderingen gooien.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements sturen de SQL en de gegevens gescheiden — de database behandelt parameters als zuivere gegevens, nooit als uitvoerbare SQL. Dit maakt injection onmogelijk, ongeacht wat de gebruiker invoert. Dit is ononderhandelbaar voor elke query met gebruikersinvoer.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Veilige databasetoegang is een van de meest beveiligingskritische aspecten van PHP-ontwikkeling, en PDO met prepared statements is de essentiële praktijk die elke PHP-ontwikkelaar moet kennen.
SQL injection — veroorzaakt door onvertrouwde gebruikersinvoer rechtstreeks in SQL-query's samen te voegen — is een van de meest voorkomende en verwoestende webkwetsbaarheden (waarmee aanvallers gegevens kunnen lezen, wijzigen of vernietigen), en het is volledig voorkoombaar. Prepared statements met gekoppelde parameters zijn de oplossing: door de SQL-structuur en de gegevens gescheiden in te dienen, behandelt de database gebruikersinvoer als zuivere gegevens die nooit als SQL kunnen worden uitgevoerd, waardoor injection onmogelijk is ongeacht de invoer.
Begrijpen dat je altijd prepared statements voor elke query met gebruikersinvoer moet gebruiken (nooit tekenreeks-samenvoegingen) is ononderhandelbare, beveiligingsessentiële kennis.
Buiten beveiliging maakt PDO's database-onafhankelijke interface, op uitzonderingen gebaseerde foutafhandeling, flexibel resultaatophalen en transactieondersteuning het de robuuste, moderne manier om databases in PHP te benaderen.
Omdat databasetoegang fundamenteel is voor de meeste applicaties en SQL injection zowel veel voorkomend als catastrofaal is, is het beheersen van PDO en de absolute discipline van prepared statements een van de belangrijkste dingen die een PHP-ontwikkelaar moet begrijpen — het is het verschil tussen een beveiligde applicatie en er een die kwetsbaar is voor een bekende, ernstige aanval. (Frameworks zoals Laravel gebruiken PDO onder de motorkap met veilige query builders/ORMs, maar het onderliggende principe blijft hetzelfde.)