Principe

Introduction

Pour dialoguer entre les pages et la base de données, il faut connaître différentes informations :

  • Le nom de la source de données (dsn : contient le type de SGBD, l'adresse du serveur,le port de connexion, le nom de la bdd).

  • Un login (username).

  • Un mot de passe (password).

Le protocole de dialogue est toujours le même, ouverture de la connexion, création de la requête son envoi et récupération des résultats.

MéthodeProtocole

1
<?php
2
// ouverture de la connexion
3
host = "localhost";
4
$dbname = "bdd";
5
$port = "3306";
6
7
$dsn = "mysql:host=$host;port=$port;dbname=$dbname";
8
$username = 'root';
9
$password = 'root';
10
11
$db = new PDO($dsn, $username, $password);
12
13
// création de la requête
14
$sql = "SELECT * FROM auteurs";
15
16
// envoi de la requête et récupération du résultat
17
$liste = $db->query($sql)->fetchAll(PDO::FETCH_OBJ);
ComplémentDSN
Le DSN (data source name) correspond au nom de la source de données.
Il est constitué d'un préfixe qui est le nom du SGBD utilisé.
Dans notre cas c'est :
1
mysql
Ensuite, on trouve l'hôte sur lequel le serveur de base de données se situe.
Dans la majorité des serveurs locaux nous devons écrire :
1
 host=localhost
Ensuite, on trouve le port sur lequel le serveur est connecté. Vous pouvez le visualiser dans les paramètres de votre serveur de développement web. Il est aussi visible dans le haut de PhpMyAdmin.
Dans la majorité des serveurs locaux nous devons écrire :
1
 port=3306
Et enfin, le nom de votre base de données
1
dbname=bdd
Ce qui nous donne :
1
$dsn = 'mysql:host=localhost;port=3306;dbname=bdd';
Lorsque vous choisirez un hébergeur pour votre site, celui-ci vous communiquera le nom de son serveur ainsi que le nom de votre base de données.
ComplémentLogin
Le login vous sera aussi fourni par votre hébergeur. En local , il vaut par défaut root.
1
$username = 'root';
ComplémentMot de passe
comme pour le login, le mot de passe vous sera fourni par votre hébergeur. En local, il est soit vide (wamp, laragon) soit égal à root (mamp).
1
$password = 'root';
ComplémentPDO
La connexion aux bases de données peut se réaliser en programmation orientée objet (POO) à l'aide de la classe PDO.
1
$db = new PDO(...);
$db est une nouvelle instance (un objet) de la classe PDO. C'est à dire qu'elle pourra utiliser toutes les méthodes de la classe PDO.
1
$db->query(...)->fetchAll();
query est une méthode de PDO qui permet d'envoyer des requêtes à la BDD.
La méthode query retourne une réponse sous forme d'un objet (de la classe PDOStatement) qui possède ses propres méthodes.
fetchAll est une de ces méthodes, elle retourne le contenu complet de la requête sous forme de tableau.
1
$db = new PDO($dsn, $username, $password);
2
3
// création de la requête
4
$sql = "SELECT * FROM auteurs";
5
6
// envoi de la requête et récupération du résultat
7
$liste = $db->query($sql)->fetchAll();
ComplémentOptions
Vous pouvez ajouter des options. Par exemple, le type de codage et le retour des données sous forme d'objet :
1
$options = [
2
    PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8',
3
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_OBJ 
4
];
5
$db = new PDO($dsn, $username, $password, $options);
Complémentquery et exec
En fonction du type de requête, il existe deux méthodes pour dialoguer avec la BDD.
Si vous voulez simplement récupérer des données (SELECT), vous pouvez utiliser query.
Si vous voulez connaître le nombre de lignes affectées par votre requête (INSERT, UPDATE, DELETE), vous pouvez utiliser exec.
Exemples :
1
$db->query("SELECT * FROM auteurs");
2
$db->exec("DELETE FROM auteurs WHERE id='1'");
3
$db->exec("UPDATE auteurs SET nom = 'Dupond' WHERE id='1'");
4
$db->exec("INSERT INTO auteurs (nom, prenom) VALUES ('dupont', 'jean')");
Complémentprepare et execute
Pour des raisons de sécurité, il est préférable d'utiliser les requêtes préparées.
1
$statement = $db->prepare("DELETE FROM auteurs WHERE id = :id");
2
$statement->execute(['id' => 1]);
:id : correspond à une variable de tableau associatif appelée id.
Ce système permet d'éviter les injections sql.
Il est équivalent à :
1
$db->exec("DELETE FROM auteurs WHERE id='1'");
ComplémentInjection sql
Supposons que vous demandiez le nom d'une personne et son mot de passe pour retourner ses articles
1
$nom = 'dupont'; //récupéré grace à un formulaire
2
$mdp = '123456'; //récupéré grace à un formulaire
3
$sql = "SELECT * FROM articles WHERE nom=$nom AND mdp=$mdp";
Ce qui nous donne :
1
$sql = "SELECT * FROM articles WHERE nom=dupont AND mdp=123456";
Monsieur Dupont verra ses articles. Maintenant supposons que le formulaire retourne ceci :
1
$nom = 'machin'; //récupéré grace à un formulaire
2
$mdp = '123456 OR 1=1'; //récupéré grace à un formulaire
3
$sql = "SELECT * FROM articles WHERE nom=$nom AND mdp=$mdp";
Ce qui nous donne :
1
$sql = "SELECT * FROM articles WHERE nom=machin AND mdp=123456 OR 1=1";
Et là, il y a un problème. Nous avons une faille de sécurité. Tous les articles de la base de données sont affichés.
Pour empêcher ces attaques, il faut nettoyer les données venant de formulaires. Notamment en ajoutant des antislashs devant les caractères spéciaux.
L'usage des requêtes préparées nous soustrait de cette obligation. En gérant les données séparément de la requête les injections sql sont annulées.