PHP PDO: подключение к MySQL и подготовленные запросы (понятное руководство)
Если вы начинаете работать с базами данных в PHP или хотите перейти на современный и безопасный способ общения с MySQL, используйте PDO. Он поддерживает подготовленные запросы (prepared statements), транзакции и единый интерфейс для разных СУБД. В статье — практический минимум, чтобы быстро и правильно стартовать с PHP PDO и подготовленными запросами.
Зачем использовать PDO
Подключение к MySQL через PDO
Настройте кодировку, ошибки и режим выборки сразу при подключении. Так вы избежите 80% проблем в будущем.
<?php
$dsn = 'mysql:host=127.0.0.1;dbname=app;charset=utf8mb4';
$user = 'app_user';
$pass = 'secret';
$options = [
PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION, // ошибки как исключения
PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC, // массивы без дублей индексов
PDO::ATTR_EMULATE_PREPARES => false, // нативные prepared statements
];
try {
$pdo = new PDO($dsn, $user, $pass, $options);
} catch (PDOException $e) {
// В проде логируйте, а не показывайте пользователю детали
die('DB error: ' . $e->getMessage());
}
Подготовленные запросы: основы
Prepared statements позволяют отделить SQL от данных. Это устраняет инъекции и упрощает повторные вызовы одного и того же запроса.
SELECT с именованными параметрами
<?php
$status = 'active';
$limit = 10;
$sql = 'SELECT id, email FROM users WHERE status = :status LIMIT :limit';
$stmt = $pdo->prepare($sql);
$stmt->bindValue(':status', $status, PDO::PARAM_STR);
$stmt->bindValue(':limit', (int)$limit, PDO::PARAM_INT); // для LIMIT/OFFSET используйте INT
$stmt->execute();
$users = $stmt->fetchAll();
Если ваш драйвер не поддерживает биндинг для LIMIT/OFFSET с отключённой эмуляцией, безопасная альтернатива — жёсткое приведение к int и интерполяция:
<?php
$limit = (int)$limit;
$sql = "SELECT id, email FROM users WHERE status = :status LIMIT $limit"; // безопасно после (int)
$stmt = $pdo->prepare($sql);
$stmt->execute([':status' => $status]);
INSERT с позиционными параметрами
<?php
$email = 'new@example.com';
$name = 'New User';
$sql = 'INSERT INTO users (email, name, created_at) VALUES (?, ?, NOW())';
$stmt = $pdo->prepare($sql);
$stmt->execute([$email, $name]);
$newId = (int)$pdo->lastInsertId();
UPDATE и счётчик затронутых строк
<?php
$sql = 'UPDATE users SET name = :name WHERE id = :id';
$stmt = $pdo->prepare($sql);
$stmt->execute([':name' => 'Alice', ':id' => 5]);
$updated = $stmt->rowCount(); // сколько строк обновлено
Как PDO защищает от SQL-инъекций
Ошибка новичка — склеивать SQL и данные.
<?php
// ПЛОХО: уязвимо к инъекциям
$email = $_GET['email'];
$q = $pdo->query("SELECT * FROM users WHERE email = '$email'");
// ПРАВИЛЬНО: используем prepare + параметры
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute([':email' => $email]);
$user = $stmt->fetch();
Транзакции: надёжные изменения данных
Транзакции гарантируют целостность: либо все операции проходят, либо ни одна.
<?php
$from = 1; $to = 2; $sum = 100;
$pdo->beginTransaction();
try {
$dec = $pdo->prepare('UPDATE accounts SET balance = balance - :s WHERE id = :id');
$dec->execute([':s' => $sum, ':id' => $from]);
if ($dec->rowCount() !== 1) {
throw new RuntimeException('Не удалось списать средства');
}
$inc = $pdo->prepare('UPDATE accounts SET balance = balance + :s WHERE id = :id');
$inc->execute([':s' => $sum, ':id' => $to]);
$pdo->commit();
} catch (Throwable $e) {
$pdo->rollBack();
// логируем и пробрасываем дальше
throw $e;
}
Динамический IN с массивом значений
Частая задача — выбрать записи по списку id. Решение — сгенерировать плейсхолдеры под каждое значение.
<?php
$ids = [3, 5, 9];
$placeholders = implode(',', array_fill(0, count($ids), '?'));
$sql = "SELECT id, name FROM products WHERE id IN ($placeholders)";
$stmt = $pdo->prepare($sql);
$stmt->execute($ids);
$products = $stmt->fetchAll();
Эффективность: переиспользование подготовленного выражения
<?php
$userIds = [1,2,3,4,5];
$stmt = $pdo->prepare('UPDATE users SET last_login = NOW() WHERE id = ?');
foreach ($userIds as $id) {
$stmt->execute([$id]);
}
Отладка запросов
<?php
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->bindValue(':id', 10, PDO::PARAM_INT);
$stmt->execute();
// В DEV-среде можно посмотреть, что и как было подставлено
$stmt->debugDumpParams();
Важно: debugDumpParams предназначен для отладки и не должен светиться в продакшене.
Типичные ошибки и как их избежать
Мини-чеклист перед продакшеном
Куда двигаться дальше
Освоив подключение и подготовленные запросы, изучите пулы соединений, репозитории, миграции и профилирование. Если хотите системно прокачать PHP и базу данных, рекомендую практический путь с обратной связью: Пройти полный курс «PHP и MySQL с Нуля до Гуру 3.0» и закрыть пробелы быстрым темпом.
Теперь у вас есть база: безопасное подключение, подготовленные запросы, транзакции и типичные приёмы для реальных задач. Применяйте эти практики с первого дня — и ваш PHP-код станет надёжнее и быстрее.
