Expressões Preparadas no PDO em PHP

Na lição anterior, examinamos os problemas relacionados a injeções de SQL. O PDO tem uma maneira especial de combatê-las - expressões preparadas. Elas representam consultas SQL, nas quais, em vez de variáveis, são colocados marcadores especiais - placeholders.

Posteriormente, os valores das variáveis serão inseridos nesse marcadores. Ao fazer isso, o PDO automaticamente separa o texto da consulta das variáveis. Isso significa que o conteúdo da variável não pode se tornar um comando para a consulta. E a injeção se torna impossível.

O PDO suporta dois tipos de placeholders: posicionais e nomeados. Nos posicionais, a ordem de sequência dos parâmetros e variáveis é importante, enquanto nos nomeados - não. Nas próximas lições, examinaremos em detalhes o trabalho com esses tipos de placeholders.