PDO ఉపయోగించి డేటాబేస్‌ను సురక్షితంగా ఎలా యాక్సెస్ చేస్తారు?

Question

Accepted Answer

**PDO** (PHP Data Objects) డేటాబేస్‌లను యాక్సెస్ చేయడానికి PHP యొక్క ఆధునిక, డేటాబేస్-అజ్ఞేయ ఇంటర్‌ఫేస్. దీని అత్యంత ముఖ్యమైన లక్షణం **prepared statements**, ఇవి **SQL injection**ను నిరోధిస్తాయి — ఇది ఏదైనా డేటాబేస్ కోడ్‌కు సంపూర్ణమైన సురక్షత ఆచరణ.

## PDO ఉపయోగించి కనెక్ట్ చేయడం

```php
<?php
$pdo = new PDO(
    "mysql:host=localhost;dbname=app;charset=utf8mb4",
    $username, $password,
    [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,    // throw exceptions on errors
        PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // fetch rows as associative arrays
    ]
);
```

PDO వేర్వేరు డేటాబేస్‌లు (MySQL, PostgreSQL, SQLite, మరియు.) లో ఒకే API ఉపయోగించి పని చేస్తుంది. `ERRMODE_EXCEPTION` సెట్ చేయడం డేటాబేస్ లోపాలను క్యాచ్ చేయగల exceptions ఎటవంటి కారణం.

## క్రిటికల్ ఆచరణ: prepared statements (SQL injection నిరోధించడం)

```php
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster

// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]);            // parameters bound SAFELY
$user = $stmt->fetch();

// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
```

**Prepared statements** SQL మరియు డేటాను విడిగా పంపుతాయి — డేటాబేస్ పరామితులను నిర్వాహకమైన డేటాగా, ఎన్నడూ executable SQL గా భావించదు. ఉపయోగకర్త ఎటువంటి ఇన్‌పుట్ నిండా, ఇది injection ను **అసాధ్యం** చేస్తుంది. ఇది ఉపయోగకర్త ఇన్‌పుట్‌ను కలిగిన ఏదైనా query కోసం పరిమితిత లేనిది.

## ఫలితాలను ఫెచ్ చేయడం మరియు ఇతర ఆపరేషన్లు

```php
$stmt->fetch();         // one row (associative array)
$stmt->fetchAll();      // all rows
$stmt->fetchColumn();   // a single value

// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId();   // the new row's ID
```

## లావాదేవీలు

```php
$pdo->beginTransaction();
try {
    $pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
    $pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
    $pdo->commit();          // all-or-nothing
} catch (Throwable $e) {
    $pdo->rollBack();         // undo on failure
}
```

## ఇది ఎందుకు ముఖ్యమైనది

సురక్షితమైన డేటాబేస్ యాక్సెస్ PHP డెవలపమెంట్ యొక్క అత్యంత సురక్షత-సంపూర్ణమైన అంశాలలో ఒకటి, మరియు **PDO with prepared statements ఎవరు PHP డెవలపర్ తప్పక తెలుసుకోవాల్సిన సాధనపద్ధతి**.

SQL injection — విశ్వసనీయత లేని ఉపయోగకర్త ఇన్‌పుట్‌ను నేరుగా SQL queries లో కంకటినేట్ చేయడం వలన కలిగిన — అత్యంత సాధారణ మరియు విధ్వంసక వెబ్ బాధ్యతలలో ఒకటి (దాడి చేసేవారు డేటాను చదవడానికి, సవరించడానికి, లేదా నాశనం చేయడానికి అనుమతిస్తుంది), మరియు ఇది పూర్తిగా నిరోధయోగ్యమైనది. **Prepared statements** బంధిత పరామితులతో సాధనపద్ధతి — SQL నిర్మాణం మరియు డేటాను విడిగా పంపడం ద్వారా, డేటాబేస్ ఉపయోగకర్త ఇన్‌పుట్‌ను శుద్ధ డేటాగా భావించి, దీనిని ఎటువంటి input వలన executable SQL గా ఎప్పటికీ సాధ్యం కాదు, injection ను అసాధ్యం చేస్తుంది.

ఉపయోగకర్త ఇన్‌పుట్ కలిగిన ఏదైనా query కోసం **always** prepared statements ఉపయోగించాలని (ఎటువంటి string concatenation ఉపయోగించకుండా) అర్థం చేసుకోవడం నిర్మానపద్ధతి-సాధనపద్ధతి, సంఘర్ష-సాధనపద్ధతి జ్ఞానం.

సురక్షత వెలుపల, PDO యొక్క డేటాబేస్-అజ్ఞేయ ఇంటర్‌ఫేస్, exception-based లోపం నిర్వహణ, సరిమి ఫలితం ఫెచ్ చేయడం, మరియు లావాదేవీ సమర్థన PHP లో డేటాబేస్‌లను యాక్సెస్ చేయడానికి శక్తిశాలిమైన, ఆధునిక పద్ధతి చేస్తుంది.

డేటాబేస్ యాక్సెస్ చాలా అనువర్తన ఆధారమైనది కూడా SQL injection సాధారణమైన మరియు విధ్వంసక కూడా, PHP డెవలపర్ తప్పక MDN మరియు prepared statements యొక్క సంపూర్ణ విభజన MDN చేయవలసిన సాధనపద్ధతిని సాధించుకోవడం — ఇది సురక్షితమైన అనువర్తనం మరియు చిరస్థాయమైన, బాగా-తెలిసిన దాడికి సంబంధించిన విషయం. (Laravel వంటి చట్రాలు PDO చేయి సురక్షితమైన query నిర్మాణకర్తలు/ORMs తో, కానీ ఆధారమైన సూత్రం ఉండిపోతుంది.)