PDO (PHP Data Objects) je modernik, neodvisen od podatkovne baze vmesnik PHP za dostop do podatkovnih baz. Njegova najpomembnejša lastnost so pripravljeni stavki (prepared statements), ki preprečujejo SQL injection — kritično varnostno prakso za katero koli kodo z bazo podatkov.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO deluje v različnih podatkovnih bazah (MySQL, PostgreSQL, SQLite itd.) z enakim API. Nastavljanje ERRMODE_EXCEPTION naredi, da napake baze podatkov vržejo ujemljive izjeme.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Pripravljeni stavki pošljejo SQL in podatke ločeno — podatkovna baza obravnava parametre kot čiste podatke, nikoli kot izvedljivi SQL. To naredi injekcijo nemogoče, ne glede na to, kaj uporabnik vnese. To je neomenjivo za katerokoli poizvedbo, ki vključuje uporabniški vnos.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Varen dostop do podatkovne baze je eden najpomembnejših vidikov varnosti v PHP razvoju, in PDO s pripravljenimi stavki je bistvena praksa, ki jo mora poznati vsak PHP razvojni delavec.
SQL injection — povzročena z neposrednim nadaljanjem nezaupanja vredno vnesenih podatkov uporabnika v SQL poizvedbe — je ena najpogostejših in najbolj uničujočih spletnih ranljivosti (omogočajoči napadalcem prebiranje, spreminjanje ali uničevanje podatkov), in je povsem preprečljiva. Pripravljeni stavki z vezanimi parametri so rešitev: z ločenim pošiljanjem strukture SQL in podatkov podatkovna baza obravnava uporabniški vnos kot čiste podatke, ki nikoli ne morejo biti izvedeni kot SQL, kar injekcijo naredi nemogoče ne glede na vnos.
Razumevanje, da morate vedno uporabljati pripravljene stavke za katero koli poizvedbo, ki vključuje uporabniški vnos (nikoli nadaljenja nizov), je neomenjivo, varnostno bistveno znanje.
Poleg varnosti PDO-jev neodvisen od podatkovne baze vmesnik, obdelava napak na osnovi izjem, prožen pridobivanje rezultatov in podpora transakcij naredijo to robustno, sodobno pot za dostop do podatkovnih baz v PHP.
Ker je dostop do baze podatkov temelj večine aplikacij in je SQL injection tako pogost kot katastrofalen, obvladovanje PDO in absolutne discipline pripravljenih stavkov je med najpomembnejšimi stvarmi, ki jih mora razumeti PHP razvojni delavec — to je razlika med varno aplikacijo in eno, ki je ranljiva za resno, dobro znano napad. (Ogrodja kot je Laravel uporabljajo PDO pod pokrovom z varnimi graditelji poizvedb/ORM-ji, vendar ostaja osnovni princip enak.)