Varno povezovanje parametrov (bindParam)

Metoda bindParam() je ključna za varnost aplikacije, saj omogoča, da SQL ukaz in podatke pošljete bazi ločeno. Namesto neposrednega vstavljanja vrednosti v SQL niz, uporabite poimenovane parametre (npr. :ime), ki jih nato povežete s PHP spremenljivkami. Glavna prednost te metode je, da se spremenljivka poveže kot referenca – to pomeni, da se njena vrednost prebere šele v trenutku izvedbe ukaza (execute), kar omogoča učinkovito večkratno izvajanje istega pripravljenega stavka z različnimi podatki.

PRIMER

<?php
class Baza {
    private $streznik = "localhost";
    private $uporabnik = "root";
    private $geslo = "";
    private $ime_baze = "pdo_baza";
    public $povezava;

    // Konstruktor vzpostavi povezavo ob ustvarjanju objekta
    public function __construct() {
        try {
            // Dodan charset=utf8mb4 za pravilno podporo šumnikom
            $dsn = "mysql:host=" . $this->streznik . ";dbname=" . $this->ime_baze . ";charset=utf8mb4";
            $this->povezava = new PDO($dsn, $this->uporabnik, $this->geslo);
            $this->povezava->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        } catch(PDOException $e) {
            die("Povezava ni uspela: " . $e->getMessage());
        }
    }

    public function dodajUporabnika($ime, $priimek, $email) {
        $sql = "INSERT INTO uporabniki (ime, priimek, email) VALUES (:ime, :priimek, :email)";
        $stavek = $this->povezava->prepare($sql);

        // Povežemo SQL parametre s PHP spremenljivkami (kot referenca)
        $stavek->bindParam(':ime', $ime);
        $stavek->bindParam(':priimek', $priimek);
        $stavek->bindParam(':email', $email);

        return $stavek->execute();
    }
}

// UPORABA:
$db = new Baza();

$novo_ime = "Jaka";
$nov_priimek = "Hribar";
$nov_email = "jaka@primer.si";

if ($db->dodajUporabnika($novo_ime, $nov_priimek, $nov_email)) {
    echo "Uporabnik $novo_ime je bil varno dodan v bazo pdo_baza!";
}
?>

REZULTAT

Tu bo prikazan rezultat...

Uporaba v praksi: Metodo bindParam najpogosteje uporabljamo pri obrazcih za registracijo ali vnos podatkov, kjer želimo preprečiti zlonamerni vnos kode. Ker se spremenljivka veže kot referenca, lahko isti stavek pripravimo enkrat, nato pa v zanki spreminjamo le vrednosti spremenljivk in jih vstavljamo. Doma preverite postopek po naslednjih korakih:

Odprite nadzorno ploščo XAMPP in zaženite modula Apache in MySQL.
V brskalniku odprite phpMyAdmin in pod zavihkom "SQL" ustvarite bazo pdo_baza ter tabelo uporabniki s spodnjo kodo.
Spremenljivke se vežejo kot referenca, kar preprečuje SQL injekcije, saj baza podatke obravnava ločeno od ukaza.
V svojem urejevalniku kode ustvarite datoteko, vstavite spodnji primer in jo zaženite preko lokalnega strežnika.