PDOPlusPlus (PPP) : une nouvelle façon d'utiliser PDO (PHP Data Object),

Un billet de blog de rawsrc

Le 22 mars 2020, par rawsrc

0PARTAGES

Salut les codeurs,

Ce billet me trottait dans la tête depuis un certain bout de temps. J'ai pu enfin trouver du temps pour le mettre noir sur blanc.
Dans cet épisode, on va s'intéresser à PHP et plus particulièrement à la manière et aux outils à disposition pour interagir avec une base de données.
Je vais principalement m'attarder au sous-ensemble limité à PDO : PHP Data Object qui est vaste et assez touffu quand un débarque pour la première fois dans le monde du PHP.
Si vous aimez la lecture, la documentation officielle est très bien faite et abondante.

1 - INTRODUCTION

L'objectif de cet billet est de vous expliquer et de mettre à disposition une classe et une seule qui va encapsuler de manière totalement autonome, la complexité de PDO.
Le but pour vous sera juste de produire du SQL de manière la plus naturelle qui soit c'est-à-dire, une simple chaîne SQL banale. Vous allez voir que c'est faisable et qu'il est possible de laisser les méandres de PDO de côté. L'outil va se charger des échappements, de l'injection des données, des tags de la remontée des résultats, bref, de tout ce qu'un développeur a besoin au quotidien.
Bref, le but ultime c'est que vous n'ayez plus besoin d'utiliser les prepare(), bindValue() ou autre bindParam() tout en continuant à utiliser PDO nativement.

Comme dans mes billets précédents, j'ai toujours privilégié une approche objet des mes outils et comme vous pouvez d'ores-et-déjà vous l'imaginer, je ne vais pas déroger à la règle. Comme PDO est déjà un ensemble de classes, il est tout naturel d'imaginer que l'outil qui va encapsuler cet ensemble de classes soit lui aussi une classe.

Je vais vous mettre à disposition ce que l'on appelle communément un : PDO Wrapper.
Si vous cherchez sur le net, vous allez en trouver des tas, mais pas comme celui-ci. Du moins je n'en ai pas trouvé d'équivalent. À priori c'est une création originale.
Si par hasard, vous tombez sur un exemplaire antérieur s'approchant, je vous invite à me faire passer l'info.
Dans le cadre de la mise à jour de mes outils de développement, j'en profite pour libérer certains

Ceux qui me suivent sur DVP depuis un certain temps doivent savoir maintenant que j'ai une tendance minimaliste assez forte. Je ne suis pas partisan d'outils qui nécessitent 80 classes voire plus pour fonctionner. J'aime

la légèreté

et privilégie l'utilisation poussée des fonctionnalités du langage à un empilement plus ou moins touffu de code.

Je vais vous démontrer qu'il est tout à fait possible d'avoir à disposition une seule et unique classe qui fera de PDO un jeu d'enfant et ne vous laissera sur les bras que l'écriture du SQL

, comme d'antan.

Voici le projet sur mon espace GitHub.

2 - OBJECTIF

Produire une classe, qui encapsulera toute la machinerie de PDO et qui nous offrira la possibilité de faire simplement les 4 opérations élémentaires (CRUD) en plus des appels aux procédures stockées et à la gestion intégrale des transactions :

CREATE
READ ou SELECT
UPDATE
DELETE
CALL pour les procédures stockées
Transactions

L'utilité majeur c'est de mettre à plat de manière unifiée les appels à PDO.

Pour les procédures stockées, cet outil offre une gestion complète de :

IN param
OUT param
INOUT param
renvoie de plusieurs jeux de données en une seule fois
toutes les options mélangées...

3 - RAPPELS SUR PDO

PDO est un ensemble de classes qui permet d'abstraire et d'unifier les appels à une base de données.
Par unification, il faut bien comprendre la puissance de l'approche objet : quelle que soient les moteurs de bases de données attaquées, le développeur PHP ne manipulera que l'objet PDO qui sera l'unique interface de communication entre son code et la base de données. L'énorme avantage pour le développeur c'est que les petites ou grosses différences entre chaque moteur de base de données lui sont totalement étrangères, lui il ne voit et ne manipule que PDO.

PDO vous permet d'attaquer une base de données de manière sécurisée. C'est-à-dire qu'il offre nativement un mécanisme d'échappement des caractères pouvant avoir un sens spécifique à chaque moteur de base de données. Pour que cela fonctionne de manière optimale, il faut qu'il soit connecté à la base afin d'adapter correctement les échappements.

PDO offre 2 mécanismes de sécurisation des données :

Une fois la connexion établie, il est possible d'échapper directement les données avec PDO::quote(). Cette fonction échappe les caractères spécifiques à la base de données et renvoie la valeur entourée de guillemets.
Il faut bien noter que les seuls caractères pouvant être "dangereux" sont ceux des chaînes de caractères.
Pour ce qui est des valeurs numériques, une fois que le développeur s'est assuré de la conformité au type attendu, la valeur ne présente plus aucun danger et n'a pas besoin d'échappement, un casting explicite est suffisant. N'oubliez pas que tout échappement a un coût.

Le mécanisme de préparation est plus complexe mais il offre des avantages en contrepartie. Il fonctionne en deux étapes : la première consiste a présenter au serveur une chaîne SQL en bonne et due forme dans laquelle le développeur aura pris soin de remplacer toutes les valeurs dynamiques par des tags inoffensifs comme par exemple : :nom ou :prenom. Et dans un second temps à l'exécution de la requête soit il injecte les valeurs sous forme de tableau ([:tag => valeur]) et dans ce cas, toutes les valeurs sont considérées comme du texte, soit il les rattache une par une avec bindValue(:tag, valeur, type) ou bindParam(:tag, valeur, type). Dans les deux derniers cas, il est possible de définir le type de chaque variable selon la liste définie à cette page PDO::PARAM_xxx. Notez qu'il existe une légère différence entre bindValue() et bindParam() au niveau du passage des valeurs : bindValue() les passe par valeur alors que bindParam() par référence. bindParam() est indiquée dans les cas où la même requête doit être exécutée plusieurs fois d'affilée. Comme par exemple dans l'insertion de plusieurs jeux de données (nous reverrons ce point un peu plus loin).
Enfin, l'autre avantage du mécanisme de préparation, c'est la mise en cache par le serveur de la requête SQL pour la session en cours. Ainsi, si la même requête est représentée au cours de la même session, elle sera exécutée un poil plus vite.
Attention : bien que le mécanisme de préparation soit performant, il arrive dans certains cas de requête complexe où l'injection des valeurs rattachées aux tags pose problème, il faudra se rabattre sur un échappement SQL direct qui lui passe quelle que soit la chaîne SQL à traîter.

L'échappement des données est obligatoire et n'est pas une chose triviale. Vous allez trouver sur le net des fonctions d'échappement de données qui vous évitent d'avoir une connexion ouverte avec la base de données, manipulez les avec moult précautions. Comme les encodages maintenant sont quasiment tous en multioctets (utf8, utf8mb4...), si vous faites un loupé dans la gestion des encodages entre le PHP et votre SGBDR, vous vous exposez à des attaques basées sur les encodages. Donc, par précaution et pour la sécurité de vos développements, je vous invite à toujours privilégier et utiliser les outils natifs fournis par votre environnement.

4 - SUPPORT PRATIQUE

Tout au long de cet billet, je vais me servir d'un support pratique très simple afin de faciliter le passage des nouveaux concepts.
Je vais utiliser une base de données db_pdo_plus_plus contenant une seule et unique table t_video permettant le suivi d'une mini vidéothèque dont voici la DDL (Data Definition Language) :

Code sql :

Identifiant
Mot de passe

Mot de passe oublié ?

Identifiez-vous

Créer un compte

PDOPlusPlus (PPP) : une nouvelle façon d'utiliser PDO (PHP Data Object), Un billet de blog de rawsrc

PDOPlusPlus (PPP) : une nouvelle façon d'utiliser PDO (PHP Data Object),

Un billet de blog de rawsrc