PDO (PHP Data Objects) — это современный, не зависящий от типа базы данных интерфейс PHP для доступа к базам данных. Его самая важная особенность — это подготовленные выражения, которые предотвращают SQL-инъекции — критически важная практика безопасности для любого кода работающего с базами данных.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO работает с разными базами данных (MySQL, PostgreSQL, SQLite и т. д.) с одинаковым API. Установка ERRMODE_EXCEPTION делает ошибки базы данных исключениями, которые можно перехватить.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Подготовленные выражения отправляют SQL и данные отдельно — база данных обрабатывает параметры как чистые данные, никогда не как исполняемый SQL. Это делает инъекции невозможными, независимо от того, что вводит пользователь. Это обязательно для любого запроса, включающего пользовательский ввод.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Безопасный доступ к базе данных — один из наиболее критически важных аспектов безопасности PHP-разработки, и PDO с подготовленными выражениями — это основная практика, которую должен знать каждый разработчик PHP.
SQL-инъекция — вызванная конкатенацией ненадежного пользовательского ввода непосредственно в SQL-запросы — одна из наиболее распространенных и разрушительных веб-уязвимостей (позволяющих злоумышленникам читать, изменять или удалять данные), и она полностью предотвращаемая. Подготовленные выражения с привязанными параметрами — это решение: отправляя структуру SQL и данные отдельно, база данных обрабатывает пользовательский ввод как чистые данные, которые никогда не могут быть исполнены как SQL, что делает инъекции невозможными независимо от ввода.
Понимание того, что вы должны всегда использовать подготовленные выражения для любого запроса, включающего пользовательский ввод (никогда конкатенацию строк), — это обязательное, критически важное для безопасности знание.
Кроме безопасности, не зависящий от типа базы данных интерфейс PDO, обработка ошибок на основе исключений, гибкое получение результатов и поддержка транзакций делают это надежным, современным способом доступа к базам данных в PHP.
Поскольку доступ к базе данных является фундаментальным в большинстве приложений, а SQL-инъекция одновременно распространена и катастрофальна, овладение PDO и абсолютной дисциплиной использования подготовленных выражений — одно из наиболее важных вещей, которые должен понимать разработчик PHP — это различие между защищенным приложением и приложением, уязвимым для серьезной, хорошо известной атаки. (Фреймворки типа Laravel используют PDO под капотом с безопасными построителями запросов/ORM, но основной принцип остается неизменным.)