PDO (PHP Data Objects) është ndërfaqja moderne e PHP-së, e pavarur nga baza e të dhënave, për qasjen në bazat e të dhënave. Karakteristika më e rëndësishme e tij është prepared statements, të cilat parandalojnë SQL injection — praktika kritike e sigurimit për çdo kod baze të dhënash.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO funksionon në bazat e të dhënave (MySQL, PostgreSQL, SQLite, etj.) me të njëjtën API. Vendosja e ERRMODE_EXCEPTION e bën gabimet e bazës së të dhënave të hedhin përjashtime të kapëshme.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements dërgojnë SQL dhe të dhënat veçmas — baza e të dhënave i trajton parametrat si të dhëna të pastra, kurrë si SQL të ekzekutueshëm. Kjo i bën injeksionet të pamundura, pavarësisht nga ajo që fut përdoruesi. Kjo është e domosdoshme për çdo pyetje që përfshin hyrjen e përdoruesit.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Qasja e sigurt në bazën e të dhënave është një nga aspektet më kritike të sigurimit në zhvillimin e PHP-së, dhe PDO me prepared statements është praktika thelbësore që çdo zhvillues PHP duhet ta njohë.
SQL injection — e shkaktuar nga bashkimi i hyrjes së përdoruesit të pabeslimuar drejtpërdrejt në pyetje SQL — është një nga vulnerabilitetet më të zakonshme dhe më shkatërruese të uebit (duke i lejuar sulmuesit të lexojnë, modifikojnë ose shkatërrojnë të dhëna), dhe ajo mund të parandalohej plotësisht. Prepared statements me parametra të lidhur janë zgjidhja: duke dërguar strukturën SQL dhe të dhënat veçmas, baza e të dhënave i trajton hyrjet e përdoruesit si të dhëna të pastra që nuk mund të ekzekutohen si SQL, duke bërë injeksionin të pamundur pavarësisht nga hyrja.
Përtej sigurimit, ndërfaqja e pavarur nga baza e të dhënave e PDO, trajtimi i gabimeve bazuar në përjashtime, marrja fleksibël e rezultateve dhe mbështetja e transaksioneve e bëjnë atë mënyrën e fortë dhe moderne për të qasur bazat e të dhënave në PHP.
Meqenëse qasja në bazën e të dhënash është thelbësore për shumicën e aplikacioneve dhe SQL injection është si i zakonshëm ashtu edhe katastrofal, përvojërisja e PDO dhe disiplinës absolute të prepared statements është ndër gjërat më të rëndësishme që një zhvillues PHP duhet të kuptojë — është dallimi midis një aplikacioni të sigurt dhe atij të cenueshëm ndaj një sulmi serioz, i njohur mirë. (Kornizat si Laravel përdorin PDO nën kapak me konstruktues pyetjesh/ORM të sigurt, por parimi themelor mbetet i njëjtë.)