PDO (PHP Data Objects) ڈیٹا بیس کو access کرنے کے لیے PHP کا جدید، ڈیٹا بیس سے لاتعلق interface ہے۔ اس کی سب سے اہم خصوصیت prepared statements ہے، جو SQL injection سے بچاتی ہے — یہ کسی بھی ڈیٹا بیس کوڈ کے لیے اہم سیکیورٹی طریقہ کار ہے۔
= (
,
, ,
[
PDO:: => PDO::, // exceptions on errors
PDO:: => PDO::, // fetch rows associative arrays
]
);
PDO ڈیٹا بیسز میں کام کرتا ہے (MySQL، PostgreSQL، SQLite، وغیرہ) ایک جیسے API کے ساتھ۔ ERRMODE_EXCEPTION سیٹ کرنے سے ڈیٹا بیس کی غلطیاں قابلِ پکڑ استثنائیں پھینکتی ہیں۔
// ❌ NEVER do this — concatenating user input → SQL INJECTION vulnerability
$result = $pdo->query("SELECT * FROM users WHERE id = " . $_GET['id']);
// input "1 OR 1=1" or "1; DROP TABLE users" → disaster
// ✅ ALWAYS use prepared statements with bound parameters
$stmt = $pdo->prepare("SELECT * FROM users WHERE id = ? AND active = ?");
$stmt->execute([$_GET['id'], true]); // parameters bound SAFELY
$user = $stmt->fetch();
// named parameters work too
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = :email");
$stmt->execute(["email" => $email]);
Prepared statements SQL اور ڈیٹا کو الگ الگ بھیجتے ہیں — ڈیٹا بیس parameters کو خالص ڈیٹا سے برتاؤ کرتا ہے، کبھی بھی قابلِ عمل SQL کے طور پر نہیں۔ یہ injection کو ناممکن بناتا ہے، قطعِ نظر اس بات کے کہ user کیا داخل کرے۔ یہ کسی بھی query کے لیے لازمی ہے جو user input میں شامل ہو۔
$stmt->fetch(); // one row (associative array)
$stmt->fetchAll(); // all rows
$stmt->fetchColumn(); // a single value
// INSERT/UPDATE/DELETE — also use prepared statements
$stmt = $pdo->prepare("INSERT INTO users (name, email) VALUES (?, ?)");
$stmt->execute([$name, $email]);
$pdo->lastInsertId(); // the new row's ID
$pdo->beginTransaction();
try {
$pdo->prepare("UPDATE accounts SET balance = balance - ? WHERE id = ?")->execute([$amt, $from]);
$pdo->prepare("UPDATE accounts SET balance = balance + ? WHERE id = ?")->execute([$amt, $to]);
$pdo->commit(); // all-or-nothing
} catch (Throwable $e) {
$pdo->rollBack(); // undo on failure
}
محفوظ ڈیٹا بیس access PHP development کے سب سے سیکیورٹی سے متعلق پہلوؤں میں سے ایک ہے، اور PDO prepared statements کے ساتھ یہ ضروری طریقہ کار ہے جو ہر PHP developer کو معلوم ہونا چاہیے۔
SQL injection — جو untrusted user input کو براہِ راست SQL queries میں شامل کرنے سے ہوتا ہے — سب سے عام اور تباہ کن ویب کمزوریوں میں سے ایک ہے (حملہ آور کو ڈیٹا پڑھنے، تبدیل کرنے یا نیست کرنے کی اجازت دیتا ہے)، اور یہ بالکل روکا جا سکتا ہے۔ Prepared statements bound parameters کے ساتھ حل ہیں: SQL structure اور ڈیٹا کو الگ الگ بھیج کر، ڈیٹا بیس user input کو خالص ڈیٹا سے برتاؤ کرتا ہے جو کبھی SQL کے طور پر execute نہیں ہو سکتا، جس سے injection input سے قطعِ نظر ناممکن ہو جاتا ہے۔ ening کہ آپ کو ہمیشہ کسی بھی query کے لیے prepared statements استعمال کرنے ہوں گے جو user input میں شامل ہو (کبھی string concatenation نہیں) یہ غیر قابلِ تنازع، سیکیورٹی سے ضروری علم ہے۔
سیکیورٹی کے علاوہ، PDO کا ڈیٹا بیس سے لاتعلق interface، exception-based error handling، لچکدار نتائج حاصل کرنا، اور transaction support یہ سب PHP میں ڈیٹا بیس access کرنے کا مضبوط، جدید طریقہ بناتے ہیں۔
کیونکہ ڈیٹا بیس access اکثر تر applications کے لیے بنیادی ہے اور SQL injection دونوں عام اور تباہ کن ہے، PDO اور prepared statements کا مطلق نظم و ضبط میں مہارت حاصل کرنا PHP developer کے لیے سب سے اہم چیزوں میں سے ایک ہے — یہ محفوظ application اور ایک کمزور application کے درمیان فرق ہے جو معروف حملے کے لیے کمزور ہے۔ (Laravel جیسے Frameworks PDO کو safe query builders/ORMs کے ساتھ استعمال کرتے ہیں، لیکن بنیادی اصول برقرار رہتا ہے۔)