PDO (PHP Data Objects) to nowoczesny, niezależny od bazy danych interfejs PHP do uzyskiwania dostępu do baz danych. Jego najważniejszą funkcją są prepared statements, które zapobiegają SQL injection — krytycznej praktyce bezpieczeństwa dla każdego kodu bazodanowego.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO działa na różnych bazach danych (MySQL, PostgreSQL, SQLite, itp.) z tym samym API. Ustawienie ERRMODE_EXCEPTION sprawia, że błędy bazy danych zgłaszają wyjątki, które można obsługiwać.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements wysyłają SQL i dane oddzielnie — baza danych traktuje parametry jako czyste dane, nigdy jako SQL do wykonania. To czyni wstrzyknięcie niemożliwym, niezależnie od tego, co wprowadzi użytkownik. To jest bezwzględnie obowiązkowe dla każdego zapytania obejmującego dane od użytkownika.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Bezpieczny dostęp do bazy danych jest jednym z najważniejszych aspektów bezpieczeństwa w tworzeniu aplikacji PHP, a PDO z prepared statements to niezbędna praktyka, którą musi znać każdy deweloper PHP.
SQL injection — spowodowany łączeniem niezaufanych danych od użytkownika bezpośrednio w zapytaniach SQL — to jedna z najczęstszych i najbardziej dewastujących luk bezpieczeństwa w sieci (umożliwiającą atakującym odczytywanie, modyfikowanie lub usuwanie danych), a jest całkowicie zapobiegalna. Prepared statements z powiązanymi parametrami to rozwiązanie: wysyłając strukturę SQL i dane oddzielnie, baza danych traktuje dane użytkownika jako czyste dane, które nigdy nie mogą być wykonane jako SQL, co uniemożliwia wstrzyknięcie niezależnie od wprowadzonych danych.
Zrozumienie, że musisz zawsze używać prepared statements dla każdego zapytania obejmującego dane użytkownika (nigdy konkatenacji ciągów), to niezbędna i krytyczna dla bezpieczeństwa wiedza.
Poza bezpieczeństwem, niezależny od bazy danych interfejs PDO, obsługa błędów oparta na wyjątkach, elastyczne pobieranie wyników i obsługa transakcji czynią go solidnym, nowoczesnym sposobem dostępu do baz danych w PHP.
Ponieważ dostęp do bazy danych jest fundamentalny dla większości aplikacji, a SQL injection jest zarówno powszechny, jak i katastrofalny, opanowanie PDO i absolutnej dyscypliny stosowania prepared statements to jedna z najważniejszych rzeczy, którą musi rozumieć deweloper PHP — to różnica między bezpieczną aplikacją a narażoną na znany i poważny atak. (Frameworki takie jak Laravel używają PDO pod maską z bezpiecznymi konstruktorami zapytań/ORM, ale podstawowa zasada pozostaje ta sama.)