Sou iniciante em PHP e gostaria de saber se PDO(PHP Data Objects) é a maneira mais segura de se conectar a um Banco de Dados? Preciso também de um exemplo de como fazer esta conexão e inserir/selecionar dados.
-
5Talvez seja a segunda. A primeira, quase sempre vão ser os drivers nativos. Por exemplo, a mysqli_ tem prepared statements nativos, o que faz toda a diferença tanto em reaproveitamento de query quanto passagem de valores (o PDO em modo emulado não aproveita nenhum dos dois recursos, apesar disto ser erroneamente apresentado como vantagem em muitas comparações pela web, é de fato uma grande desvantagem). Em geral, se a pessoa vai usar MySQL em PHP, não tem razão nenhuma para usar PDO (mas tem para não usar).– Largato ♦Commented 18/10/2016 às 18:25
1 Resposta
Sim o PDO é uma das APIs novas para conexão com o banco de dados outra é o mysqli. Uma das vantagens do PDO é o suporte a vários bancos e prepared statements(emulados).
No constutor do PDO são necessários cinco informações que são, driver, servidor/host, nome da base, usuário e senha.
Parâmetros do construtor
Algumas opções interessesantes como o controle de erro que podem ser erros ou exceções, des/ativar o autocommit entre outros podem ser definidos no construtor como último argumento. Isso também pode ser feito através do método setAttribute()
. Lista de opções disponíveis.
No exemplo abaixo é definido que os erros serão tratados como exceptions, o tipo de retorno padrão é um array associativo e o último indica que o nome das chaves do array serão maiusculas.
No construtor:
$opcoes = array(PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
PDO::ATTR_CASE => PDO::CASE_UPPER);
$db = new PDO('mysql:host=localhost;dbname=catalogo', 'root', 'root');
Ou com setAttribute:
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->setAttribute(PDO::ATTR_CASE, PDO::CASE_UPPER);
$db->setAttribute(PDO::ATTR_DEFAULT_FETCH_MODE, PDO::FETCH_ASSOC);
Prepared statements e mysql_*
As funções mysql_* já foram descontinuadas a muito tempo e não suportavam prepared statements, para pegar o resultado de um select era preciso de três passos, definição da sql, executar(transformar a string em um comando sql e aplicar no banco) a consulta e obter o resultado para uma insert/update/delete o último passo é omitido.
Tipico código com mysql_*
$link = mysql_connect($host, $usuario, $senha);
mysql_select_db($banco);
//1 - passo
$sql = "SELECT * FROM tabela WHERE nome = 'admin' AND senha = '#4skdjf' AND ativo = 1";
//2 - passo
$res = mysql_query($sql) or die(mysql_error());
//3 - passo
while($row = mysql_fetch_assoc($res)){
echo $row['nome'];
}
Com prepared statements temos cinco passos, definição da sql, transformar a string numa consulta preparada, substituição dos placeholders pelos valores, execução da consulta no banco e por último obter o resultado.
A substituição das marções(:valor
ou ?
) também conhecidos named placeholders e placeholders pode ser feita através de três métodos, bindValue()
, bindParam()
e no execute()
. A diferença entre bindValue()
e bindParam()
é que o segundo aceita apenas referências(variáveis/constantes) logo retornos de funções/métodos causam um erro.
//bindParam
$valor = 10;
$stmt = $db->prepare($sql);
$stmt->bindParam(':v1', $valor); //válido
$stmt->bindParam(':v1', 10); //inválido
$stmt->bindParam(':v1', getValor()); //inválido
$stmt->bindParam(':v1', $obj->getValor()); //inválido
//bindValue
$stmt = $db->prepare($sql);
$stmt->bindValue(':v1', 10); //válido
$stmt->bindValue(':v1', getValor()); //válido
$stmt->bindValue(':v1', $obj->getValor()); //válido
A terceira forma é passar os valores no execute()
como um array ela é mais prática para consultas com parâmetros dinâmicos.
$stmt = $db->prepare($sql);
$stmt->execute(array(':v1' => '10', ':v2' => 'admin'));
Para insert/update/delete
$db = new PDO('mysql:host=localhost;dbname=base', 'usuario', 'senha');
//1 - passo
$sql = 'INSERT INTO tabela (c1,c2,c3) VALUES(?,?,?)';
//2 - passo
$stmt = $db->prepare($sql);
//3 - passo é aqui é o array(...), 4 - passo é chamada de execute()
if($stmt->execute(array('valor1', 'valor2', 3)) === false){
print_r($stmt->errorInfo());
}else{
echo 'insert realizado com sucesso';
}
Para selects
//1 - passo
$sql = 'SELECT * FROM tabela WHERE c = :v1 AND c2 = :v2';
//2 - passo
$stmt = $db->prepare($sql);
//3 - passo
$stmt->bindValue(':v1', 10);
$stmt->bindValue(':v2', 'janeiro');
//4 - passo
$stmt->execute();
//5 - passo
$itens = $stmt->fetchAll(PDO::FETCH_ASSOC);
Retorno em selects
Os alguns dos principais métodos para obter o retorno de um select são fetch()
que retorna apenas um registro e fetchAll()
que devolve um array como forme o tipo especificado que no exemplo foi PDO::FETCH_ASSOC
(array associativo), também pode ser array de objetos.
Leitura recomendada:
Por que não devemos usar funções do tipo mysql_*?
MySQLi vs PDO - qual o mais recomendado para usar?
SQL LIMIT parametrizado no PHP com PDO
Método PREPARE do PDO não funciona - bind dinâmico
Como printar a instrução SQL que está sendo enviada ao banco?
Inserir em tabelas com chave extrangeira com PDO - obter id do registro inserido