Prepared Statements in PDO in PHP

Nella lezione precedente abbiamo analizzato i problemi legati alle SQL injection. In PDO esiste un modo speciale per combatterle: le istruzioni preparate. Esse rappresentano query SQL in cui, al posto delle variabili, vengono inseriti speciali segnaposto - i placeholder.

In questi segnaposto verranno poi inseriti i valori delle variabili. In questo modo PDO separa automaticamente il testo della query dalle variabili. Ciò significa che il contenuto della variabile non potrà diventare un comando per la query. E l'injection diventa impossibile.

PDO supporta due tipi di placeholder: i posizionali e i nominativi. In quelli posizionali è importante l'ordine di sequenza dei parametri e delle variabili, mentre in quelli nominativi no. Nelle prossime lezioni esamineremo in dettaglio il lavoro con questi tipi di placeholder.