Biểu thức được chuẩn bị sẵn (Prepared Statements) trong PDO của PHP

Trong bài học trước, chúng ta đã phân tích các vấn đề liên quan đến SQL injection. Trong PDO có một cách đặc biệt để chống lại chúng - đó là biểu thức được chuẩn bị sẵn. Chúng đại diện cho các truy vấn SQL, trong đó thay vì biến số, người ta đặt các trình giữ chỗ đặc biệt.

Vào các trình giữ chỗ này, giá trị của biến số sau đó sẽ được chèn vào. Khi đó PDO tự động tách biệt văn bản truy vấn với biến số. Điều này có nghĩa là nội dung của biến số không thể trở thành một phần của lệnh truy vấn. Và việc chèn mã (injection) sẽ trở nên bất khả thi.

PDO hỗ trợ hai loại trình giữ chỗ: trình giữ chỗ theo vị trí và trình giữ chỗ được đặt tên. Với loại theo vị trí, thứ tự của các tham số và biến số là quan trọng, còn với loại được đặt tên thì không. Trong các bài học tiếp theo, chúng ta sẽ xem xét chi tiết cách làm việc với các loại trình giữ chỗ này.