Consultas com PDO
Esta aula ensina como realizar consultas ao banco de dados usando PDO em PHP, abordando os métodos query e exec, prepared statements, bind de parâmetros e os diferentes fetch modes. O conteúdo inclui exemplos práticos e boas práticas de segurança.
Nesta aula, vamos explorar como realizar consultas ao banco de dados utilizando a extensão PDO (PHP Data Objects) do PHP. PDO é uma interface de acesso a banco de dados que fornece uma camada de abstração, permitindo trabalhar com diferentes bancos de dados de forma consistente. Aprenderemos os métodos básicos para executar consultas, como usar prepared statements para evitar injeção SQL, como vincular parâmetros e como recuperar dados usando diferentes modos de fetch.
Antes de prosseguir, certifique-se de ter uma conexão PDO estabelecida com seu banco de dados. Nos exemplos, usaremos um banco de dados MySQL com uma tabela chamada 'usuarios' com colunas 'id', 'nome', 'email' e 'idade'.
query e exec
O método query() é usado para executar consultas SQL que não possuem parâmetros dinâmicos, como SELECT simples. Ele retorna um objeto PDOStatement que pode ser usado para iterar sobre os resultados. Já o método exec() é usado para consultas que não retornam resultados, como INSERT, UPDATE ou DELETE, e retorna o número de linhas afetadas.
É importante notar que query() não escapa os valores; portanto, nunca deve ser usado com dados fornecidos pelo usuário. Use prepared statements para isso. Exemplos:
<?php
// Usando query() para SELECT
$stmt = $pdo->query('SELECT * FROM usuarios');
while ($row = $stmt->fetch()) {
print_r($row);
}
// Usando exec() para INSERT
$count = $pdo->exec("INSERT INTO usuarios (nome, email, idade) VALUES ('João', 'joao@example.com', 30)");
echo "Linhas inseridas: $count";
?>Prepared statements
Prepared statements são a forma recomendada de executar consultas com parâmetros dinâmicos no PDO. Eles previnem injeção SQL ao separar a estrutura da consulta dos dados. O processo envolve preparar a consulta com placeholders (marcadores de posição) e depois executá-la com os valores reais.
Existem dois tipos de placeholders: posicionais (?) e nomeados (:nome). Os placeholders posicionais são indexados por posição, enquanto os nomeados são associados a nomes. Exemplo com placeholders nomeados:
<?php
$sql = "SELECT * FROM usuarios WHERE idade > :idade AND email LIKE :email";
$stmt = $pdo->prepare($sql);
$stmt->execute([':idade' => 25, ':email' => '%@example.com']);
$resultados = $stmt->fetchAll();
print_r($resultados);
?>Bind de parâmetros
O bind de parâmetros é uma alternativa ao array passado diretamente no execute(). Ele permite associar variáveis a placeholders, definindo o tipo de dado esperado. Os métodos bindParam() e bindValue() são usados para isso. A diferença é que bindParam() vincula a variável por referência, permitindo que seu valor seja alterado antes da execução, enquanto bindValue() vincula o valor atual da variável.
Exemplo com bindParam:
<?php
$stmt = $pdo->prepare("INSERT INTO usuarios (nome, email, idade) VALUES (:nome, :email, :idade)");
$nome = 'Maria';
$email = 'maria@example.com';
$idade = 28;
$stmt->bindParam(':nome', $nome);
$stmt->bindParam(':email', $email);
$stmt->bindParam(':idade', $idade, PDO::PARAM_INT);
$stmt->execute();
// Alterando valores e executando novamente
$nome = 'Pedro';
$email = 'pedro@example.com';
$idade = 35;
$stmt->execute();
?>Fetch modes
Os fetch modes determinam como os dados são retornados ao recuperar linhas do banco. PDO oferece vários modos, sendo os mais comuns:
PDO::FETCH_ASSOC: retorna um array associativo com nomes das colunas como chaves.PDO::FETCH_NUM: retorna um array indexado numericamente.PDO::FETCH_BOTH: retorna ambos (padrão).PDO::FETCH_OBJ: retorna um objeto anônimo com propriedades correspondentes às colunas.PDO::FETCH_CLASS: retorna uma instância de uma classe específica.
Exemplo de uso:
<?php
$stmt = $pdo->query('SELECT * FROM usuarios');
// FETCH_ASSOC
$assoc = $stmt->fetchAll(PDO::FETCH_ASSOC);
print_r($assoc);
// FETCH_OBJ
$obj = $stmt->fetchAll(PDO::FETCH_OBJ);
foreach ($obj as $usuario) {
echo $usuario->nome . "\n";
}
?>Boas práticas e observações finais
Sempre prefira prepared statements para qualquer consulta que envolva dados do usuário, mesmo que sejam apenas números. Isso garante segurança contra injeção SQL. Utilize query() apenas para consultas estáticas. Lembre-se de tratar exceções com try-catch, pois PDO lança exceções se configurado para isso (modo de erro ERRMODE_EXCEPTION).
Outra dica: ao usar bindParam(), defina explicitamente o tipo do parâmetro usando constantes como PDO::PARAM_INT para inteiros, PDO::PARAM_STR para strings, etc. Isso otimiza a consulta e evita conversões desnecessárias.
Referências
- PHP: PDO - Manual
- PHP: PDO::query - Manual
- PHP: PDO::exec - Manual
- PHP: PDO::prepare - Manual
- PHP: PDOStatement::bindParam - Manual
- PHP: PDOStatement::bindValue - Manual
- PHP: PDOStatement::fetch - Manual
- PHP: PDOStatement::fetchAll - Manual
Exercícios
- Crie uma conexão PDO com um banco de dados MySQL local e execute uma consulta SELECT usando
query()para listar todos os registros de uma tabela 'produtos'. - Usando prepared statements com placeholders nomeados, insira um novo usuário na tabela 'usuarios'. Os campos são: nome, email e idade.
- Utilize
bindParam()para atualizar o email de um usuário cujo id é fornecido por uma variável. O email deve ser alterado para 'novo@example.com'. - Faça uma consulta SELECT que retorne todos os usuários com idade maior que 18 e exiba os resultados como objetos (FETCH_OBJ).
- Crie uma consulta usando
exec()para deletar todos os usuários com idade inferior a 18. Mostre quantas linhas foram deletadas.
<?php
$pdo = new PDO('mysql:host=localhost;dbname=teste', 'usuario', 'senha');
$stmt = $pdo->query('SELECT * FROM produtos');
while ($row = $stmt->fetch(PDO::FETCH_ASSOC)) {
print_r($row);
}
?>
<?php
$sql = "INSERT INTO usuarios (nome, email, idade) VALUES (:nome, :email, :idade)";
$stmt = $pdo->prepare($sql);
$stmt->execute([
':nome' => 'Ana',
':email' => 'ana@example.com',
':idade' => 22
]);
echo "Usuário inserido com sucesso.";
?>
<?php
$id = 1;
$email = 'novo@example.com';
$sql = "UPDATE usuarios SET email = :email WHERE id = :id";
$stmt = $pdo->prepare($sql);
$stmt->bindParam(':email', $email, PDO::PARAM_STR);
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
$stmt->execute();
echo "Email atualizado.";
?>
<?php
$stmt = $pdo->prepare("SELECT * FROM usuarios WHERE idade > :idade");
$stmt->execute([':idade' => 18]);
$usuarios = $stmt->fetchAll(PDO::FETCH_OBJ);
foreach ($usuarios as $user) {
echo $user->nome . " - " . $user->email . "\n";
}
?>
<?php
$count = $pdo->exec("DELETE FROM usuarios WHERE idade < 18");
echo "Foram deletados $count usuários.";
?>
Transações com PDO
Esta aula ensina como usar transações com PDO em PHP para garantir a integridade dos dados em operações de banco de dados. Serão abordados os métodos beginTransaction, commit e rollback, quando utilizar transações, tratamento de erros e exemplos práticos.
✓ Lido
Prevenindo SQL injection
Esta aula explica o que é SQL injection, como prepared statements protegem contra esse ataque, erros comuns ao tentar prevenir e boas práticas para escrever código seguro em PHP.
✓ Lido
Exceções customizadas
Nesta aula, você aprenderá a criar exceções customizadas em PHP estendendo a classe Exception, explorando exceções de domínio para erros específicos de negócio, o encadeamento de exceções para rastrear a origem de falhas e boas práticas para decidir quando criar suas próprias exceções.
✓ Lido