Forberedte udtryk i PDO i PHP

I den forrige lektion gennemgik vi problemerne forbundet med SQL-injektioner. PDO har en speciel metode til at bekæmpe dem - forberedte udtryk. De repræsenterer SQL-forespørgsler, hvor der i stedet for variable placeres specielle markører - pladsholdere.

I disse markører vil værdierne af variablerne derefter blive indsat. Samtidig separerer PDO automatisk forespørgselsteksten fra variablerne. Dette betyder, at indholdet af en variabel ikke kan blive en del af kommandoen i forespørgslen. Og injektion bliver umulig.

PDO understøtter to typer pladsholdere: positionelle og navngivne. I de positionelle er rækkefølgen af parametre og variabler vigtig, mens det i de navngivne - ikke er. I de næste lektioner vil vi i detaljer undersøge arbejdet med disse typer pladsholdere.