了解 PHP 中的 PDO 以及為什麼推薦使用它而不是 `mysql_*` 函數

什麼是 PDO（PHP 資料物件）以及為什麼建議使用它而不是 mysql_* 函數？

PHP 資料物件 (PDO) 是 PHP 中的資料庫存取抽象層，為存取不同類型的資料庫（包括 MySQL、PostgreSQL、SQLite 等）提供一致的介面。 PDO 被認為是 PHP 中與資料庫互動的現代方法，取代了 mysql_* 等舊函數，這些函數在 PHP 7.0 中已被棄用並刪除。

在本文中，我們將深入探討 PDO 是什麼、它是如何運作的，以及為什麼建議在 PHP 中使用它而不是 mysql_* 函數來進行資料庫互動。

---

1.什麼是 PDO（PHP 資料物件）？

PDO 是一個擴展，為存取不同類型的資料庫提供統一的介面。它支援多個資料庫管理系統 (DBMS)，這意味著您只需對程式碼進行最少的更改即可在資料庫之間切換。 PDO 提供了一組用於連接資料庫、執行查詢和處理結果的方法。

PDO 的主要特點：

• 資料庫獨立性：PDO 允許您編寫與資料庫無關的程式碼。使用 PDO 編寫程式碼後，您可以從一個資料庫（例如 MySQL）切換到另一個資料庫（例如 PostgreSQL），而無需重寫查詢。
• 準備好的語句：PDO 支援準備好的語句，這是處理使用者輸入和防止 SQL 注入攻擊的安全方法。
• 錯誤處理：與 mysql_* 函數相比，PDO 提供了更好的錯誤處理能力，包括可以更輕鬆地追蹤和處理錯誤的異常。

---

2.為什麼推薦 PDO 而不是 mysql_* 函數？

a.棄用與刪除 mysql_* 函數

在 PHP 5.5 中，mysql_* 函數已被正式棄用，並且在 PHP 7.0 中完全刪除。這意味著使用 mysql_* 函數的應用程式可能會遇到與較新版本的 PHP 的兼容性問題。

• MySQL 擴充：mysql_* 函數是舊版 MySQL 擴充功能的一部分，它是專門為與 MySQL 資料庫連接和互動而設計的。
• 已棄用的函數：不再建議使用 mysql_connect()、mysql_query()、mysql_fetch_assoc() 等函數，因為它們不支援現代資料庫功能，並且不再維護。

b.安全

PDO 提供了更好的安全功能，特別是透過支援準備好的語句和參數化查詢，這顯著降低了SQL注入攻擊的風險。

• mysql_* 函數：舊的 mysql_* 函數不直接支援準備好的語句，開發人員必須手動清理使用者輸入以防止 SQL 注入。
• PDO 準備語句：PDO 允許您在 SQL 查詢中使用佔位符並將值綁定到這些佔位符，確保使用者輸入被視為資料而不是可執行程式碼。這會自動處理轉義和清理，從而降低 SQL 注入的風險。

// Example using PDO with prepared statements
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

c.資料庫獨立性

mysql_* 函數特定於 MySQL 資料庫，這表示如果您決定切換到不同的資料庫（例如 PostgreSQL 或 SQLite），則需要重寫大部分資料庫程式碼。

• mysql_* 函數：僅適用於 MySQL 資料庫。
• PDO：允許您在不更改程式碼的情況下使用多個資料庫系統（MySQL、PostgreSQL、SQLite、MSSQL 等），只要您使用適當的DSN（資料來源名稱）和特定資料庫的選項。

// Example of connecting to different databases with PDO

// MySQL connection
$pdo_mysql = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');

// PostgreSQL connection
$pdo_pgsql = new PDO('pgsql:host=localhost;dbname=test', 'username', 'password');

這意味著您的程式碼可以在不同的資料庫之間無縫運作，減少供應商鎖定，並在必要時更輕鬆地切換資料庫。

d.錯誤處理

PDO 透過 異常 提供強大的錯誤處理，與 mysql_* 函數相比，這使得捕獲和管理錯誤變得更加容易。

• mysql_* 函數：mysql_* 函數通常在失敗時傳回 false，開發人員必須檢查每個函數的回傳值以偵測錯誤。如果您忘記檢查返回值或錯過錯誤，這可能會導致錯誤處理效果不佳。

  // mysql_* error handling
  $link = mysql_connect("localhost", "user", "password");
  if (!$link) {
      die('Could not connect: ' . mysql_error());
  }

• PDO：PDO 預設支援異常，您可以透過將錯誤模式設為 PDO::ERRMODE_EXCEPTION 來啟用此功能。這允許您使用 try-catch 區塊捕獲異常，從而產生更乾淨、更易於維護的程式碼。

  try {
      $pdo = new PDO('mysql:host=localhost;dbname=test', 'username', 'password');
      $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
  } catch (PDOException $e) {
      echo 'Connection failed: ' . $e->getMessage();
  }

這種異常處理更加強大，可以讓您更有效地管理資料庫錯誤。

e.支援進階功能

PDO 提供了 mysql_* 函數所沒有的一些進階功能：

• 事務：PDO 支援資料庫事務，它允許您將多個查詢作為單一工作單元執行。如果一個查詢失敗，事務可以回滾，並保證資料的一致性。

// Example using PDO with prepared statements
$stmt = $pdo->prepare('SELECT * FROM users WHERE username = :username AND password = :password');
$stmt->bindParam(':username', $username);
$stmt->bindParam(':password', $password);
$stmt->execute();

• 命名佔位符：PDO 支援命名佔位符（例如：使用者名稱、:密碼），與位置佔位符的mysql_* 方法相比，這使得查詢更具可讀性且更易於維護。

• 取得結果：PDO 提供了多種取得結果的方法，例如fetch()、fetchAll() 和fetchColumn()，並且可以選擇以關聯數組、物件的形式傳回資料，或其他格式。

---

3.使用 PDO 相對於 mysql_* 函數的好處

1. 安全性：PDO 對準備好的語句的支援有助於防止 SQL 注入攻擊。
2. 資料庫彈性：PDO 支援多個資料庫，讓您以最少的程式碼變更在資料庫之間切換。
3. 錯誤處理：PDO 基於異常的錯誤處理比 mysql_* 函數的錯誤處理機制更乾淨、更可靠。
4. 進階功能：PDO 支援交易、命名佔位符以及以各種格式取得結果等功能，提供比 mysql_* 函數更大的靈活性和功能。

---

4.結論

PDO 因其靈活性、安全性和健全性而成為 PHP 中與資料庫互動的推薦方法。與已棄用的 mysql_* 函數不同，PDO 提供跨多個資料庫系統的一致接口，支援準備好的語句以防止 SQL 注入，並提供改進的錯誤處理。借助 PDO，您可以為資料庫驅動的應用程式編寫更安全、可維護且可擴展的程式碼。

---

以上是了解 PHP 中的 PDO 以及為什麼推薦使用它而不是 `mysql_*` 函數的詳細內容。更多資訊請關注PHP中文網其他相關文章！