برای دسترسی به دیتابیس در php دو راه خوب هست : PDO و MySQLi. اما هر کدوم از این دو کتابخانه ویژگی هایی دارن که آشنایی باهاشون باعث می شه انتخاب بهتری داشته باشید.

توضیحات کلی:

اتصال :

// PDO
$pdo = new PDO("mysql:host=localhost;dbname=database", 'username', 'password');
 
// mysqli, روش معمول
$mysqli = mysqli_connect('localhost','username','password','database');
 
// mysqli, روش شی گرا
$mysqli = new mysqli('localhost','username','password','database');

پشتیبانی از API ها:

پشتیبانی از دیتاتبیس ها:

• CUBRID
• MS SQL Server
• Firebird/Interbase
• IBM
• Informix
• MySQL
• MS SQL Server
• Oracle
• ODBC and DB2
• PostgreSQL
• SQLite
• 4D

خوب نظرتون چیه؟

با استفاده از این کد می تونید لیست پایگاه داده هایی رو که PDO پشتیبانی می کنه ببینید:

var_dump(PDO::getAvailableDrivers());

پشتیبانی از پارامترهای نامگذاری شده:

//pdo
$params = array(':username' => 'test', ':email' => $mail, ':last_login' => time() - 3600);
 
$pdo->prepare('
   SELECT * FROM users
   WHERE username = :username
   AND email = :email
   AND last_login > :last_login');
 
$pdo->execute($params);

//MySQLi
$query = $mysqli->prepare('
   SELECT * FROM users
   WHERE username = ?
   AND email = ?
   AND last_login > ?');
 
$query->bind_param('sss', 'test', $mail, time() - 3600);
$query->execute();

شاید کدها در MySQLi کمی کوتاه تر و ساده تر به نظر بیان ولی وقتی به پارامترها دقت کنید می بینید که در PDO شما می تونید پارامترها رو نامگذاری کنید. گاهی در حین کار برنامه نویس با بزرگ تر شدن برنامه اش کمی گیج می شه و این پارامترهای نامگذاری شده می تونن توی درک بهتر کد و خوانایی شون اهمیت ویژه ای داشته باشن.
ولی متاسفانه MySQLi این ویژگی رو نداره و ازش پشتیبانی نمی کنه.

پشتیبانی از آبجکت ها:

class User {
   public $id;
   public $first_name;
   public $last_name;
 
   public function info()
   {
      return '#'.$this->id.': '.$this->first_name.' '.$this->last_name;
   }
}

بدون استفاده از این ویژگی شما باید قبل از استفاده از () info مقدار تمامی فیلدها رو شخصن تعیین کنید. اما با استفاده از این روش شما می تونید مقادیر موردنظرتون رو از پیش تعریف کنید قبل از اینکه هنوز آبجکتی ساخته شده باشه. برای نمونه به این کد توجه کنید:

$query = "SELECT id, first_name, last_name FROM users";
 
// PDO
$result = $pdo->query($query);
$result->setFetchMode(PDO::FETCH_CLASS, 'User');
 
while ($user = $result->fetch()) {
   echo $user->info()."n";
}
// MySQLI, روش معمولی
if ($result = mysqli_query($mysqli, $query)) {
   while ($user = mysqli_fetch_object($result, 'User')) {
      echo $user->info()."n";
   }
}
// MySQLi, روش شی گرا
if ($result = $mysqli->query($query)) {
   while ($user = $result->fetch_object('User')) {
      echo $user->info()."n";
   }
}

امنیت:

هر دوی این کتابخانه ها به صورت پیش فرض از حملات SQL injection جلوگیری می کنند. توابعی دارن که می تونید با استفاده از اونا ورودی هاتون رو پاک سازی کنید. یا بر اساس مقادیر از پیش تعریف شده چک کنید.

یه مثال ساده از این روش. آقای هکر می خواد از طریق نام کاربری و از طریق درخواست HTTP دیتابیس ما رو هک کنه. کد ما این میشه:

$query = "SEL$_GET['username'] = "'; DELETE FROM users; /*"

اگر ما ورودی رو چک و پاکسازی نکنیم آقای هکر عزیز مثلن می تونه تمامی یوزرهای مارو پاک کنه (البته هر دوی این کتابخونه ها کوئری های چنگانه (multiple query) رو پشتیبانی می کنن)

// PDO, پاکسازی دستی
$username = PDO::quote($_GET['username']);
 
$pdo->query("SELECT * FROM users WHERE username = $username");
 
// mysqli, پاکسازی دستی
$username = mysqli_real_escape_string($_GET['username']);
 
$mysqli->query("SELECT * FROM users WHERE username = '$username'");

همونطوری که می بینید ()PDO::quote علاوه بر پاکسازی ورودی ها اونها رو داخل کوتیشن هم میگذاره. اما () mysqli_real_escape_string فقط رشته رو پاکسازی می کنه و خودتون به صورت دستی باید اون رو داخل کوتیشن بزارید.

// PDO
$pdo->prepare('SELECT * FROM users WHERE username = :username');
$pdo->execute(array(':username' => $_GET['username']));
 
// mysqli
$query = $mysqli->prepare('SELECT * FROM users WHERE username = ?');
$query->bind_param('s', $_GET['username']);
$query->execute();

ما توصیه می کنیم که همیشه از عبارات آماده در کنار() PDO::quote و () mysqli_real_escape_string استفاده کنید (کار از محکم کاری عیب نمی کنه )

کارآیی (Performance) :

نتیجه گیری:

منبع : net.tutsplus.com