Bases de Datos con PDO (PHP Data Objects)

¿Qué es PDO (PHP Data Objects)?

PDO es la extensión oficial y recomendada de PHP para interactuar con bases de datos relacionales. Proporciona una capa de abstracción de acceso a datos consistente, lo que significa que utilizas exactamente los mismos métodos y funciones sin importar si tu base de datos subyacente es MySQL, PostgreSQL, SQLite, SQL Server u Oracle.

Ventajas Principales de PDO:

• Portabilidad entre Motores: Cambiar de SQLite a MySQL o PostgreSQL solo requiere modificar la cadena de conexión (DSN); el 95% de tus consultas y código PHP permanece idéntico.
• Sentencias Preparadas Nativas: Separan la estructura de la consulta SQL de los datos enviados por el usuario, eliminando por completo el riesgo de Inyección SQL (SQLi).
• Manejo de Errores con Excepciones: Emite objetos PDOException que puedes capturar limpiamente con bloques try...catch.
• Mapeo Orientado a Objetos: Permite transformar filas de base de datos directamente en instancias de tus clases PHP mediante PDO::FETCH_CLASS.

1. Conexión y Atributos Recomendados

Para conectarse se instancia un nuevo objeto PDO pasando el DSN (Data Source Name), usuario, contraseña y un arreglo asociativo de opciones de configuración:

// Ejemplo de conexión con PDO (Configuración de Producción)
$dsn = 'mysql:host=localhost;dbname=kilopolis_academia;charset=utf8mb4';
$usuario = 'root';
$password = 'secreto_seguro';

$opciones = [
    // 1. Lanzar excepciones cuando ocurra un error SQL
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    // 2. Retornar arrays asociativos limpios por defecto
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    // 3. Desactivar emulación de sentencias preparadas (seguridad real en el motor)
    PDO::ATTR_EMULATE_PREPARES   => false,
];

try {
    $pdo = new PDO($dsn, $usuario, $password, $opciones);
    echo "¡Conexión establecida exitosamente!";
} catch (PDOException $e) {
    echo "Error en la base de datos: " . $e->getMessage();
}

2. Sentencias Preparadas contra Inyección SQL

La regla de oro en desarrollo web: NUNCA concatenes variables del usuario directamente dentro de una consulta SQL.

// ¡PELIGRO! Si $email contiene: ' OR '1'='1
$sql = "SELECT * FROM usuarios WHERE email = '" . $email . "'";
$stmt = $pdo->query($sql);

// El motor compila la consulta primero; luego inyecta el valor
$stmt = $pdo->prepare("SELECT * FROM usuarios WHERE email = :email");
$stmt->execute(['email' => $email]);
$usuario = $stmt->fetch();

Marcadores de Posición (Placeholders):

• Parámetros Nombrados (Recomendado): Usan dos puntos como prefijo (ej: :titulo, :precio). Son altamente legibles y autodocumentados.
• Parámetros Posicionales: Usan signos de interrogación (?). Se asocian en el mismo orden en que aparecen en el array pasado a execute().

3. Métodos de Extracción de Datos (Fetch)