PDO (PHP Data Objects) er PHPs moderne, databaseuavhengig grensesnitt for databasetilgang. Den viktigste funksjonen er prepared statements, som forhindrer SQL-injection — den kritiske sikkerhetspraksisen for all databasekode.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO fungerer på tvers av databaser (MySQL, PostgreSQL, SQLite, osv.) med samme API. Når du setter ERRMODE_EXCEPTION, kaster databasefeil fangbare unntak.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements sender SQL og data separat — databasen behandler parametere som ren data, aldri som kjørbar SQL. Dette gjør injeksjon umulig, uavhengig av hva brukeren legger inn. Dette er ikke-forhandlingsbart for enhver spørring som involverer brukerinput.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Sikker databasetilgang er en av de mest sikkerhetskritiske aspektene av PHP-utvikling, og PDO med prepared statements er den essensielle praksisen som enhver PHP-utvikler må kjenne til.
SQL-injection — forårsaket av å konkatenere upålitelig brukerinput direkte inn i SQL-spørringer — er en av de mest vanlige og ødeleggende nettsvakheter (som tillater angripere å lese, endre eller ødelegge data), og den er helt forhindres. Prepared statements med bundne parametere er løsningen: ved å sende SQL-strukturen og dataene separat, behandler databasen brukerinput som ren data som aldri kan kjøres som SQL, noe som gjør injeksjon umulig uavhengig av input.
Å forstå at du alltid må bruke prepared statements for enhver spørring som involverer brukerinput (aldri strengkonkatenering) er ikke-forhandlingsbart, sikkerhetssensitiv kunnskap.
Utover sikkerhet gjør PDOs databaseuavhengig grensesnitt, unntaksbasert feilhåndtering, fleksibel resultatfetching og transaksjonsstøtte det til den robuste, moderne måten å få tilgang til databaser i PHP.
Siden databasetilgang er fundamental for de fleste applikasjoner og SQL-injection er både vanlig og katastrofal, er det å mestre PDO og den absolutte disiplinen av prepared statements blant de viktigste tingene en PHP-utvikler må forstå — det er forskjellen mellom en sikker applikasjon og en som er sårbar for et alvorlig, kjent angrep. (Rammeverk som Laravel bruker PDO under panseret med sikre spørringsbyggere/ORMer, men det underliggende prinsippet gjenstår.)