Varna priprava SQL poizvedb s prepare()

Metoda prepare() pripravi SQL stavek za izvedbo in vrne objekt stavka. Njena glavna naloga je ločiti SQL logiko od samih podatkov. Namesto neposrednih vrednosti v ukazu uporabimo poimenovane parametre (npr. :id). To bazi omogoči, da vnaprej analizira in optimizira poizvedbo, hkrati pa popolnoma onemogoči napade tipa SQL injekcija, saj se podatki obravnavajo ločeno od ukaza.

PRIMER

<?php
class Baza {
    private $streznik = "localhost";
    private $uporabnik = "root";
    private $geslo = "";
    private $ime_baze = "pdo_baza";
    public $povezava;

    public function __construct() {
        try {
            // Dodan charset=utf8mb4 za pravilno podporo šumnikom
            $dsn = "mysql:host=" . $this->streznik . ";dbname=" . $this->ime_baze . ";charset=utf8mb4";
            $this->povezava = new PDO($dsn, $this->uporabnik, $this->geslo);
            $this->povezava->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
        } catch(PDOException $e) {
            die("Povezava ni uspela: " . $e->getMessage());
        }
    }

    public function najdiUporabnika($id) {
        // Pripravimo stavek s poimenovanim parametrom :id
        $sql = "SELECT * FROM uporabniki WHERE id = :id";
        $stavek = $this->povezava->prepare($sql);
        
        // Izvedemo stavek in varno podamo dejansko vrednost
        $stavek->execute(['id' => $id]);
        
        return $stavek->fetch(PDO::FETCH_ASSOC);
    }
}

// 3. DEL: Uporaba
$db = new Baza();
$uporabnik = $db->najdiUporabnika(2);

if ($uporabnik) {
    echo "Najden uporabnik: " . $uporabnik['ime'] . " " . $uporabnik['priimek'];
}
?>

REZULTAT

Tu bo prikazan rezultat...

Uporaba v praksi: Metodo prepare uporabimo vedno, ko SQL stavek vsebuje podatke, ki jih vnese uporabnik (npr. iskanje, prijava ali urejanje profila). Doma preverite postopek po naslednjih korakih:

V nadzorni plošči XAMPP zaženite modula Apache in MySQL.
Preko phpMyAdmin zagotovite, da v bazi pdo_baza obstaja tabela uporabniki.
Metoda vrne objekt tipa PDOStatement, ki ga nato izvedete z metodo execute().
Vstavite spodnji primer v PHP datoteko in poglejte, kako varno poiščemo uporabnika po njegovem ID-ju.