PDO (PHP Data Objects) என்பது PHP-ன் நவீன, தரவுத்தளத்திலிருந்து சுயாதீனமான தரவுத்தளத்தை அணுகுவதற்கான இடைமுகமாகும். அதன் மிக முக்கியமான அம்சம் prepared statements ஆகும், இது SQL injectionஐ தடுக்கிறது — இது எந்தவொரு தரவுத்தள குறியீட்டிற்கும் முக்கியமான பாதுகாப்பு நடைமுறையாகும்.
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO தரவுத்தளங்களில் (MySQL, PostgreSQL, SQLite, முதலியவை) ஒரே API உடன் செயல்படுகிறது. ERRMODE_EXCEPTION ஐ அமைப்பது தரவுத்தள பிழைகளை பிடிக்கக்கூடிய விதிவிலக்குகளை எறியும்.
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements SQL மற்றும் தரவைத் தனித்தனியாக அனுப்புகிறது — தரவுத்தளம் parameters ஐ தூய தரவாக கருதுகிறது, ஒருபோதும் இயக்கக்கூடிய SQL ஆக இல்லை. இது injection ஐ சாத்தியமற்றதாக செய்கிறது, பயனர் என்ன உள்ளிடுகிறார் என்பது பொருட்படாமல். இது பயனர் உள்ளீட்டை உள்ளடக்கிய எந்தவொரு query-க்கும் மிக முக்கியமாக உள்ளது.
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
பாதுகாப்பான தரவுத்தள அணுகல் PHP மேம்பாட்டின் மிக பாதுகாப்பு-முக்கியமான அம்சங்களில் ஒன்றாகும், மேலும் prepared statements உடன் PDO என்பது ஒவ்வொரு PHP மேம்பாட்டாளரும் தெரிந்து கொள்ள வேண்டிய அத்யாவசிய நடைமுறையாகும்.
SQL injection — நம்பிக்கையற்ற பயனர் உள்ளீட்டை நேரடியாக SQL queries-ல் இணைப்பதால் ஏற்படுகிறது — மிகவும் பொதுவான மற்றும் சேதமளிக்கும் இணைய பாதுகாப்பற்றতைகளில் ஒன்றாகும் (தாக்குனர்களை தரவைப் படிக்க, மாற்ற அல்லது அழிக்க அனுமதிக்கிறது), மேலும் இது முற்றிலும் தடுக்கக்கூடியதாகும். Prepared statements பிணைக்கப்பட்ட parameters உடன் தீர்வாகும்: SQL கட்டமைப்பு மற்றும் தரவைத் தனித்தனியாக அனுப்புவதன் மூலம், தரவுத்தளம் பயனர் உள்ளீட்டை தூய தரவாக கருதுகிறது, இது SQL ஆக ஒருபோதும் இயக்கப்பட முடியாது, injection ஐ உள்ளீட்டு பொருட்படாமல் சாத்தியமற்றதாக செய்கிறது.
பயனர் உள்ளீட்டை உள்ளடக்கிய எந்தவொரு query-க்கும் நீங்கள் எப்போதும் prepared statements ஐ பயன்படுத்த வேண்டும் என்பதை புரிந்து கொள்ளுதல் (ஒருபோதும் string concatenation இல்லை) என்பது மிக முக்கியமாக உள்ளது, பாதுகாப்பு-அত்யாவசிய அறிவாகும்.
பாதுகாப்புக்கு அப்பால், PDO-ன் தரவுத்தளத்திலிருந்து சுயாதீனமான இடைமுகம், விதிவிலக்கு-அடிப்படையிலான பிழை கையாளுதல், நমনীய முடிவு பெறுதல், மற்றும் பரிவர்த்தனை ஆதரவு இதை PHP-ல் தரவுத்தளத்தை அணுகுவதற்கான வலுவான, நவீன வழியாக செய்கிறது.
தரவுத்தள அணுகல் பெரும்பாலான பயன்பாடுகளுக்கு அடிப்படையாகும் மற்றும் SQL injection பொதுவாக உள்ளது மற்றும் பேரழிவு, PDO மற்றும் prepared statements-ன் முழுமையான கட்டுப்பாட்டை தெரிந்து கொள்வது ஒரு PHP மேம்பாட்டாளர் புரிந்து கொள்ள வேண்டிய மிக முக்கியமான விஷயங்களில் ஒன்றாகும் — இது ஒரு பாதுகாப்பான பயன்பாட்டிற்கும் ஒரு கடுமையான, நன்கு அறியப்பட்ட தாக்குதலுக்கு பாதுகாப்பற்ற பயன்பாட்டிற்கும் இடையேயான வித்தியாசமாகும். (Laravel போன்ற சட்டகங்கள் PDO ஐ பாதுகாப்பான query builders/ORMs உடன் பயன்படுத்துகின்றன, ஆனால் அடிப்படையான கொள்கை மாறாமல் உள்ளது.)