Подготвени изрази в PDO в PHP

В предишния урок разгледахме проблемите, свързани със SQL инжекции. В PDO има специален начин за борба с тях - подготвени изрази. Те представляват SQL заявки, в които вместо променливи се поставят специални маркери - плейсхолдъри.

В тези маркери след това ще се вмъкват стойностите на променливите. При това PDO автоматично отделя текста на заявката от променливите. Това означава, че съдържанието на променливата не може да стане команда за заявка. И инжекцията става невъзможна.

PDO поддържа два типа плейсхолдъри: позиционни и именувани. При позиционните е важен редът на следване на параметрите и променливите, а при именуваните - не. В следващите уроци ще разгледаме подробно работата с тези типове плейсхолдъри.