Przygotowane wyrażenia w PDO w PHP

W poprzedniej lekcji przeanalizowaliśmy problemy związane z iniekcjami SQL. W PDO istnieje specjalny sposób walki z nimi - przygotowane wyrażenia. Reprezentują one zapytania SQL, w których zamiast zmiennych stawiane są specjalne znaczniki - placeholder.

Do tych znaczników będą następnie wstawiane wartości zmiennych. Przy tym PDO automatycznie oddziela tekst zapytania od zmiennych. Oznacza to, że zawartość zmiennej nie może stać się poleceniem dla zapytania. I iniekcja stanie się niemożliwa.

PDO obsługuje dwa typy placeholderów: pozycyjne i nazwane. W pozycyjnych ważna jest kolejność następowania parametrów i zmiennych, a w nazwanych - nie. W kolejnych lekcjach szczegółowo rozważymy pracę z tymi typami placeholderów.