PDO (PHP Data Objects) är PHPs moderna, databasagnostiska gränssnitt för att få åtkomst till databaser. Dess viktigaste funktion är förberedda instruktioner, som förhindrar SQL-injektioner — den kritiska säkerhetspraxisen för all databaskod.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO fungerar på flera databaser (MySQL, PostgreSQL, SQLite, osv.) med samma API. Om du ställer in ERRMODE_EXCEPTION gör databasfel att undantag kastas som kan fångas.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Förberedda instruktioner skickar SQL och data separat — databasen behandlar parametrar som ren data, aldrig som körbar SQL. Detta gör injektioner omöjliga, oavsett vad användaren matar in. Detta är obligatoriskt för alla frågor som involverar användarinmatning.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
Säker databasåtkomst är en av de mest säkerhetskritiska aspekterna av PHP-utveckling, och PDO med förberedda instruktioner är den väsentliga praxisen som varje PHP-utvecklare måste kunna.
SQL-injektioner — orsakade av att man sammanfogar opålitlig användarinmatning direkt i SQL-frågor — är en av de vanligaste och mest förödande webbs sårbarheter (som tillåter angripare att läsa, ändra eller förstöra data), och det är helt möjligt att förhindra. Förberedda instruktioner med bundna parametrar är lösningen: genom att skicka SQL-strukturen och data separat behandlar databasen användarinmatning som ren data som aldrig kan köras som SQL, vilket gör injektioner omöjliga oavsett inmatning.
Att förstå att du alltid måste använda förberedda instruktioner för alla frågor som involverar användarinmatning (aldrig strängsammanfogning) är obligatorisk, säkerhetskritisk kunskap.
Utöver säkerhet gör PDOs databasagnostiska gränssnitt, undantagsbaserad felhantering, flexibel resultatökning och transaktionsstöd det till det robusta, moderna sättet att få åtkomst till databaser i PHP.
Eftersom databasåtkomst är grundläggande för de flesta applikationer och SQL-injektioner är både vanliga och katastrofala, är det att bemästra PDO och den absoluta disciplinen med förberedda instruktioner bland de viktigaste sakerna en PHP-utvecklare måste förstå — det är skillnaden mellan en säker applikation och en som är sårbar för en allvarlig, välkänd attack. (Ramverk som Laravel använder PDO under huven med säkra frågebyggare/ORM-lösheter, men den underliggande principen förblir densamma.)