Vorbereitete Ausdrücke in PDO in PHP

In der vorherigen Lektion haben wir die Probleme behandelt, die mit SQL-Injectionen verbunden sind. PDO hat eine spezielle Methode, um dagegen vorzugehen - vorbereitete Ausdrücke. Diese sind SQL-Abfragen, bei denen anstelle von Variablen spezielle Marker - Platzhalter - gesetzt werden.

In diese Marker werden anschließend die Werte der Variablen eingefügt. Dabei trennt PDO automatisch den Abfragetext von den Variablen. Das bedeutet, der Inhalt der Variable kann nicht zu einem Befehl für die Abfrage werden. Und eine Injection wird unmöglich.

PDO unterstützt zwei Arten von Platzhaltern: positionale und benannte. Bei positionalen ist die Reihenfolge der Parameter und Variablen wichtig, bei benannten nicht. In den folgenden Lektionen werden wir die Arbeit mit diesen Arten von Platzhaltern im Detail betrachten.