Připravené výrazy v PDO v PHP

V předchozí lekci jsme rozebrali problémy související s SQL-injekcemi. V PDO existuje speciální způsob boje proti nim - připravené výrazy. Představují SQL dotazy, ve kterých jsou místo proměnných umístěny speciální značky - zástupné symboly.

Do těchto značek budou následně vloženy hodnoty proměnných. Při tom PDO automaticky odděluje text dotazu od proměnných. To znamená, že obsah proměnné se nemůže stát příkazem pro dotaz. A injekce se stane nemožnou.

PDO podporuje dva typy zástupných symbolů: poziční a pojmenované. U pozičních záleží na pořadí parametrů a proměnných, u pojmenovaných - ne. V následujících lekcích podrobně prozkoumáme práci s těmito typy zástupných symbolů.