Arkadaşlar selam, uzun zamandır PHP ile uğraşıyorum ama veritabanı bağlantılarında hep mysql_* fonksiyonlarına takılıp kalmıştım. Geçenlerde yeni bir projeye başlarken artık bu fonksiyonların kullanımdan kaldırıldığını görünce mecbur PDO'ya geçtim. İlk başta biraz gözüm korktu açıkçası, özellikle prepared statements ve exception handling kısmı kafa karıştırıcı geldi. Ama bir kere alışınca aslında ne kadar güvenli ve esnek olduğunu fark ettim. Şimdi sizlere kendi deneyimlerimden yola çıkarak PDO ile nasıl sağlam bir bağlantı kurabileceğimizi anlatmak istiyorum, özellikle SQL injection gibi saldırılara karşı nasıl korunabileceğimizi konuşalım.
Ben genelde bağlantı için bir config dosyası oluşturup orada sabitler tanımlıyorum, sonra da bir veritabanı sınıfı içinde PDO instance'ı oluşturuyorum. Ama burada dikkat edilmesi gereken en önemli nokta, try-catch bloklarıyla hata yönetimini doğru yapmak. İlk projemde hata mesajlarını direkt ekrana bastığım için canlı sunucuda büyük bir güvenlik açığı oluşturmuştum, sonra fark edip düzelttim. Siz bu konuda ne yapıyorsunuz? Özellikle geliştirme ve canlı ortam arasında hata raporlamayı nasıl ayırıyorsunuz? Bir de PDO'nun farklı sürücüleri (MySQL, PostgreSQL vs.) arasında geçiş yaparken hiç syntax sorunu yaşadınız mı?
Bir diğer merak ettiğim konu da prepared statements kullanırken bindParam mı yoksa bindValue mu tercih ediyorsunuz? Ben genelde bindValue kullanıyorum çünkü daha basit geliyor, ama uzun soluklu projelerde bindParam'ın referans olarak çalışması bazı durumlarda daha esnek olabiliyor. Ayrıca fetch modları arasında (fetchAssoc, fetchObj vs.) seçim yaparken performans farkı var mı, deneyimlerinizi paylaşırsanız sevinirim. Bir de şu an sorgularda hala eski usül query() mi kullanıyorsunuz yoksa tamamen prepared statements'e mi geçtiniz? Ben hala bazı basit sorgular için query() kullanıyorum ama bunun güvenlik riski oluşturup oluşturmayacağını tartışmak isterim.
Ben genelde bağlantı için bir config dosyası oluşturup orada sabitler tanımlıyorum, sonra da bir veritabanı sınıfı içinde PDO instance'ı oluşturuyorum. Ama burada dikkat edilmesi gereken en önemli nokta, try-catch bloklarıyla hata yönetimini doğru yapmak. İlk projemde hata mesajlarını direkt ekrana bastığım için canlı sunucuda büyük bir güvenlik açığı oluşturmuştum, sonra fark edip düzelttim. Siz bu konuda ne yapıyorsunuz? Özellikle geliştirme ve canlı ortam arasında hata raporlamayı nasıl ayırıyorsunuz? Bir de PDO'nun farklı sürücüleri (MySQL, PostgreSQL vs.) arasında geçiş yaparken hiç syntax sorunu yaşadınız mı?
Bir diğer merak ettiğim konu da prepared statements kullanırken bindParam mı yoksa bindValue mu tercih ediyorsunuz? Ben genelde bindValue kullanıyorum çünkü daha basit geliyor, ama uzun soluklu projelerde bindParam'ın referans olarak çalışması bazı durumlarda daha esnek olabiliyor. Ayrıca fetch modları arasında (fetchAssoc, fetchObj vs.) seçim yaparken performans farkı var mı, deneyimlerinizi paylaşırsanız sevinirim. Bir de şu an sorgularda hala eski usül query() mi kullanıyorsunuz yoksa tamamen prepared statements'e mi geçtiniz? Ben hala bazı basit sorgular için query() kullanıyorum ama bunun güvenlik riski oluşturup oluşturmayacağını tartışmak isterim.