Pripravljeni stavki (PREPARED STATEMENTS)

Pripravljeni stavki so standard za varno programiranje. V PDO namesto neposrednega vstavljanja vrednosti v SQL niz uporabimo poimenovane parametre (npr. :ime). S tem ločimo SQL logiko od podatkov, kar prepreči SQL injekcije.

PRIMER

<?php
$streznik = "localhost";
$uporabnik = "root";
$geslo = "";
$baza = "pdo_baza";

try {
    $dsn = "mysql:host=$streznik;dbname=$baza;charset=utf8mb4";
    $povezava = new PDO($dsn, $uporabnik, $geslo);
    $povezava->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);

    // KORAK 1: Priprava SQL stavka (Blueprint)
    // Namesto vprašajev (?) uporabimo poimenovane parametre (npr. :ime, :priimek). 
    // To naredi kodo neprimerljivo bolj berljivo. Metoda prepare() pošlje ta načrt 
    // na strežnik, kjer se preveri in varno zaklene struktura poizvedbe.
    $stavek = $povezava->prepare("INSERT INTO uporabniki (ime, priimek, email) 
                                 VALUES (:ime, :priimek, :email)");

    // KORAK 2: Vezava parametrov (Binding)
    // S funkcijo bindParam() povežemo poimenovane parametre s PHP spremenljivkami.
    // Opomba: Tukaj podamo le reference na spremenljivke, dejanske vrednosti pa lahko nastavimo kasneje!
    $stavek->bindParam(':ime', $ime);
    $stavek->bindParam(':priimek', $priimek);
    $stavek->bindParam(':email', $email);

    // KORAK 3: Nastavitev vrednosti in končna izvedba (Execution)
    // Spremenljivkam dodelimo dejanske podatke in pokličemo metodo execute().
    // Ker so podatki strogo ločeni od SQL strukture, je SQL injekcija TUKAJ POPOLNOMA ONEMOGOČENA!
    $ime = "Nina";
    $priimek = "Petek";
    $email = "nina@primer.si";
    $stavek->execute();

    echo "Nov uporabnik je bil varno vstavljen s pripravljenimi stavki!";
} catch (PDOException $e) {
    echo "Napaka: " . $e->getMessage();
}

// Zapiranje povezave
$povezava = null;
?>

REZULTAT

Tu bo prikazan rezultat...

Postopek poteka v treh korakih: najprej stavek pripravimo (prepare), nato nanj vežemo spremenljivke (bindParam) in na koncu ukaz izvedemo (execute). Spodaj bomo v tabelo uporabniki varno dodali novega člana.

Poimenovani parametri (npr. :email) naredijo kodo bolj pregledno.
Metoda bindParam() poveže SQL parameter neposredno s PHP spremenljivko.
Isti pripravljen stavek lahko izvedemo večkrat z različnimi podatki, kar poveča hitrost.