Forhåndssatte uttrykk i PDO i PHP

I forrige leksjon diskuterte vi problemer forbundet med SQL-injeksjoner. PDO har en spesiell måte å håndtere disse på - forhåndssatte uttrykk. De representerer SQL-spørringer der spesielle markører - plassholdere - brukes i stedet for variabler.

I disse markørene vil verdiene til variablene deretter bli satt inn. Samtidig separerer PDO automatisk spørringsteksten fra variablene. Dette betyr at innholdet i variabelen ikke kan bli en kommando for spørringen. Og injeksjon blir umulig.

PDO støtter to typer plassholdere: posisjonsbaserte og navngitte. I posisjonsbaserte er rekkefølgen på parametere og variabler viktig, mens i navngitte er den ikke det. I de følgende leksjonene skal vi se nærmere på arbeid med disse typene plassholdere.