PDO (PHP Data Objects) ਡਾਟਾਬੇਸ ਐਕਸੈਸ ਕਰਨ ਲਈ PHP ਦਾ ਆਧੁਨਿਕ, ਡਾਟਾਬੇਸ-ਅਗਨੋਸਟਿਕ ਇੰਟਰਫੇਸ ਹੈ। ਇਸ ਦੀ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ prepared statements, ਜੋ SQL injection ਨੂੰ ਰੋਕਦੇ ਹਨ — ਕਿਸੇ ਵੀ ਡਾਟਾਬੇਸ ਕੋਡ ਲਈ ਸਮਾਲੋਚਨਾ-ਸੁਰੱਖਿਅਤ ਅਭਿਆਸ।
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO ਤਮਾਮ ਡਾਟਾਬੇਸਾਂ (MySQL, PostgreSQL, SQLite, ਆਦਿ) ਵਿੱਚ ਬਰਾਬਰ API ਦੇ ਨਾਲ ਕਾਮ ਕਰਦਾ ਹੈ। ERRMODE_EXCEPTION ਸੈਟ ਕਰਨਾ ਡਾਟਾਬੇਸ ਦੀਆਂ ਗਲਤੀਆਂ ਨੂੰ ਫਿੜ ਕਰਨ ਯੋਗ ਅਪਵਾਦਾਂ ਨੂੰ ਸੁੱਟਣ ਲਈ ਬਣਾਉਂਦਾ ਹੈ।
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements SQL ਅਤੇ ਡਾਟਾ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ਤੇ ਭੇਜਦੇ ਹਨ — ਡਾਟਾਬੇਸ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਖਾਲਿਸ ਡਾਟਾ ਵਜੋਂ ਵਿਚਾਰਦਾ ਹੈ, ਕਦੀ ਕੋਈ ਚਲਾਏ ਜਾ ਸਕਣ ਵਾਲਾ SQL ਨਹੀਂ। ਇਹ injection ਨੂੰ ਅਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ, ਚਾਹੇ ਯੂਜ਼ਰ ਕੀ ਇਨਪੁਟ ਕਰੇ। ਇਹ ਕਿਸੇ ਵੀ ਪ੍ਰਸ਼ਨ ਲਈ ਜੋ ਯੂਜ਼ਰ ਇਨਪੁਟ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ, ਗੈਰ-ਮਿਲਣ ਯੋਗ ਹੈ।
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
ਸੁਰੱਖਿਅਤ ਡਾਟਾਬੇਸ ਪਹੁੰਚ PHP ਵਿਕਾਸ ਦੇ ਸਭ ਤੋਂ ਸੁਰੱਖਿਆ-ਮਹੱਤਵਪੂਰਨ ਪਹਿਲੂ ਹੈ, ਅਤੇ PDO with prepared statements ਜ਼ਰੂਰੀ ਅਭਿਆਸ ਹੈ ਜੋ ਹਰ PHP ਡਿਵੈਲਪਰ ਨੂੰ ਜਾਣਨਾ ਚਾਹੀਦਾ ਹੈ।
SQL injection — ਜੋ ਅਭਰੋਸੇ ਯੋਗ ਯੂਜ਼ਰ ਇਨਪੁਟ ਨੂੰ ਸਿੱਧੇ SQL ਪ੍ਰਸ਼ਨਾਂ ਵਿੱਚ ਜੋੜ ਕੇ ਹੁੰਦਾ ਹੈ — ਸਭ ਤੋਂ ਸਾਧਾਰਨ ਅਤੇ ਭਿਆਨਕ ਵੈੱਬ ਕਮਜ਼ੋਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ (ਹਮਲਾ ਕਰਨ ਵਾਲਿਆਂ ਨੂੰ ਡਾਟਾ ਨੂੰ ਪੜ੍ਹਨ, ਸੋਧਣ, ਜਾਂ ਤਬਾਹ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇਂਦਾ ਹੈ), ਅਤੇ ਇਹ ਪੂਰੀ ਤਰ੍ਹਾਂ ਰੋਕਣ ਯੋਗ ਹੈ। Prepared statements bound parameters ਨਾਲ ਹੱਲ ਹਨ: SQL ਢਾਂਚੇ ਅਤੇ ਡਾਟਾ ਨੂੰ ਵੱਖਰੇ ਤੌਰ ਤੇ ਭੇਜ ਕੇ, ਡਾਟਾਬੇਸ ਯੂਜ਼ਰ ਇਨਪੁਟ ਨੂੰ ਖਾਲਿਸ ਡਾਟਾ ਵਜੋਂ ਵਿਚਾਰਦਾ ਹੈ ਜਿਸ ਨੂੰ ਕਦੀ SQL ਵਜੋਂ ਚਲਾਇਆ ਨਹੀਂ ਜਾ ਸਕਦਾ, ਇਨਜੇਕਸ਼ਨ ਨੂੰ ਅਸੰਭਵ ਬਣਾ ਦਿੰਦਾ ਹੈ।
is ਤੋਂ ਪਰੇ, PDO ਦਾ ਡਾਟਾਬੇਸ-ਅਗਨੋਸਟਿਕ ਇੰਟਰਫੇਸ, ਅਪਵਾਦ-ਆਧਾਰਿਤ ਗਲਤੀ ਹੈਂਡਲਿੰਗ, ਲਚਕਦਾਰ ਨਤੀਜੇ ਫਿੱਚਿੰਗ, ਅਤੇ ਲੈਨਾ ਸਮਰਥਨ ਇਸ ਨੂੰ PHP ਵਿੱਚ ਡਾਟਾਬੇਸ ਲਾਂਘਾ ਕਰਨ ਦਾ ਮਜ਼ਬੂਤ, ਆਧੁਨਿਕ ਤਰੀਕਾ ਬਣਾਉਂਦਾ ਹੈ।
ਕਿਉਂਕਿ ਡਾਟਾਬੇਸ ਪਹੁੰਚ ਜ਼ਿਆਦਾਤਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਲਈ ਬੁਨਿਆਦੀ ਹੈ ਅਤੇ SQL injection ਆਮ ਅਤੇ ਵਿਨਾਸ਼ਕਾਰੀ ਹੈ, PDO ਅਤੇ prepared statements ਦੇ ਸਕਲ ਅਨੁਸ਼ਾਸਨ ਵਿੱਚ ਪਾਰਗੋ ਕਾਬਲੀਅਤ ਪਾਓ ਹੈ — ਇਹ ਇੱਕ ਸੁਰੱਖਿਅਤ ਐਪਲੀਕੇਸ਼ਨ ਅਤੇ ਅਗਵਾ, ਚੰਗੀ-ਜਾਣੀ ਕਮਜ਼ੋਰੀ ਨੂੰ ਲਾਜ਼ੁਮੀ ਅਤੇ ਨੁਕਸਾਨਦੇਹ ਬਣਾਉਂਦਾ ਹੈ। (Laravel ਵਰਗੀ ਫਰੇਮਵਰਕਾਂ PDO ਨੂੰ ਅੰਦਰੂਨੀ ਤੌਰ ਤੇ ਸੁਰੱਖਿਅਤ ਪ੍ਰਸ਼ਨ ਬਿਲਡਰ/ORMs ਦੇ ਨਾਲ ਵਰਤਦੀਆਂ ਹਨ, ਪਰ ਬੁਨਿਆਦੀ ਸਿਧਾਂਤ ਬਰਕਰਾਰ ਹੈ।)