สอนเขียน PHP 8 เชื่อมต่อฐานข้อมูลด้วย PDO ทำ CRUD อย่างปลอดภัย ป้องกัน SQL Injection

ทำไมต้องรู้จัก CRUD และทำไมต้องใช้ Prepared Statements?

ในการพัฒนาเว็บแอปพลิเคชัน สิ่งที่โปรแกรมเมอร์ต้องทำแทบทุกวันคือการจัดการข้อมูลในฐานข้อมูล ซึ่งเราเรียกกระบวนการนี้ว่า CRUD ย่อมาจาก Create (เพิ่มข้อมูล), Read (ดึงข้อมูล), Update (แก้ไขข้อมูล) และ Delete (ลบข้อมูล) เปรียบเสมือนการจดบันทึกสมุดบัญชีที่เราต้องทั้งเขียนใหม่ อ่านทวน แก้ไขรายการ และลบรายการที่ไม่ใช้ออกไปนั่นเอง

สำหรับมือใหม่ที่เพิ่งเริ่มใช้ PHP 8 เชื่อมต่อกับฐานข้อมูล สิ่งที่อันตรายที่สุดคือการเขียนคำสั่ง SQL แบบตรงไปตรงมา เพราะอาจเปิดช่องให้แฮกเกอร์ทำ SQL Injection (การฉีดคำสั่งแปลกปลอมเข้าไปในฐานข้อมูลเพื่อขโมยหรือทำลายข้อมูล) ดังนั้นเราจึงต้องใช้สิ่งที่เรียกว่า Prepared Statements ซึ่งเป็นวิธีเตรียม "โครงสร้างคำสั่ง" ไว้ก่อน แล้วค่อยส่ง "ข้อมูล" ตามเข้าไปทีหลัง ทำให้ฐานข้อมูลรู้ว่าส่วนไหนคือคำสั่งและส่วนไหนคือข้อมูลที่ผู้ใช้กรอกมา

การเปรียบเทียบให้เห็นภาพคือ หากคุณสั่งอาหารที่ร้านค้า แทนที่จะตะโกนบอกแม่ค้าว่า "เอาผัดกะเพราไม่ใส่พริก" (ซึ่งถ้าคนอื่นตะโกนแทรกว่า "วางระเบิดร้าน" อาจเกิดปัญหา) การใช้ Prepared Statements เหมือนการกรอกแบบฟอร์มสั่งอาหารที่ระบุช่องชัดเจนว่า "เมนูอะไร" และ "สั่งพิเศษอย่างไร" ทำให้แม่ค้าได้รับเฉพาะข้อมูลที่ถูกต้อง ไม่ได้รับคำสั่งที่ไม่พึงประสงค์เข้ามาในระบบ

เตรียมพร้อมก่อนเริ่มเขียนโค้ดด้วย PDO

ในปัจจุบัน วิธีการเชื่อมต่อฐานข้อมูลที่แนะนำที่สุดสำหรับ PHP 8 คือการใช้ PDO (PHP Data Objects) ซึ่งเป็นเครื่องมือมาตรฐานที่ช่วยให้เราคุยกับฐานข้อมูลได้หลายประเภท ไม่ว่าจะเป็น MySQL, MariaDB หรือ PostgreSQL โดยมีฟีเจอร์ความปลอดภัยในตัวที่จัดการเรื่องการทำ SQL Injection ให้เราโดยอัตโนมัติ

ก่อนจะเริ่มเขียนโค้ด สิ่งที่คุณต้องมีคือไฟล์ฐานข้อมูลและคำสั่งเชื่อมต่อที่ถูกต้องเสมอ ให้คุณสร้างไฟล์ชื่อ db.php เพื่อเก็บการตั้งค่าการเชื่อมต่อไว้ใช้งานซ้ำได้ทั่วทั้งโปรเจกต์ นี่เป็นแนวปฏิบัติที่ดีของโปรแกรมเมอร์มืออาชีพที่ช่วยลดการเขียนโค้ดซ้ำซ้อนและง่ายต่อการแก้ไขในอนาคต

<?php
// ข้อมูลสำหรับการเชื่อมต่อฐานข้อมูล
$host = 'localhost';
$db   = 'my_database';
$user = 'root';
$pass = '';

// การตั้งค่า PDO ให้แสดง Error ชัดเจนเมื่อเกิดปัญหา
$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
];

try {
    // สร้างการเชื่อมต่อด้วย PDO
    $pdo = new PDO("mysql:host=$host;dbname=$db;charset=utf8mb4", $user, $pass, $options);
} catch (PDOException $e) {
    die("เชื่อมต่อฐานข้อมูลไม่สำเร็จ: " . $e->getMessage());
}
?>

จากตัวอย่างด้านบน เราใช้ try-catch เพื่อดักจับข้อผิดพลาด หากเชื่อมต่อไม่ได้โปรแกรมจะแจ้งเตือนแทนที่จะค้างไปเฉย ๆ และเราตั้งค่า PDO::ATTR_DEFAULT_FETCH_MODE เป็น FETCH_ASSOC เพื่อให้เวลาดึงข้อมูลออกมาจะเป็นรูปแบบ Associative Array (ชุดข้อมูลที่เข้าถึงผ่านชื่อคอลัมน์) ซึ่งใช้ง่ายและอ่านโค้ดได้ชัดเจนที่สุด

การเพิ่มข้อมูล (INSERT) อย่างปลอดภัย

การเพิ่มข้อมูลคือการนำสิ่งที่ผู้ใช้กรอกเข้ามา (เช่น ชื่อสมัครสมาชิก) บันทึกลงตารางในฐานข้อมูล จุดที่มือใหม่มักพลาดคือการนำตัวแปรจาก $_POST ไปวางในคำสั่ง SQL โดยตรง ซึ่งเสี่ยงต่อการถูกแฮก การใช้ Prepared Statements จะใช้เครื่องหมาย ? (Placeholder) เป็นตัวแทนของข้อมูลที่จะส่งเข้าไป

ลองสังเกตตัวอย่างด้านล่างนี้ เราจะใช้ฟังก์ชัน prepare() เพื่อเตรียมคำสั่งไว้ก่อน จากนั้นจึงใช้ execute() เพื่อส่งข้อมูลจริงเข้าไปในรูปแบบ Array โดยวิธีนี้ฐานข้อมูลจะมองว่าข้อมูลเหล่านั้นเป็นเพียง "ข้อความธรรมดา" ไม่ใช่ "คำสั่ง SQL" ทำให้การโจมตีด้วย SQL Injection ไม่สามารถทำงานได้

<?php
require 'db.php';

$name = "Somchai";
$email = "somchai@example.com";

// ใช้ ? เป็นตัวแทนข้อมูล
$sql = "INSERT INTO users (name, email) VALUES (?, ?)";
$stmt = $pdo->prepare($sql);

// ส่งข้อมูลจริงเข้าไปในรูปแบบ Array
$stmt->execute([$name, $email]);

echo "เพิ่มข้อมูลเรียบร้อยแล้ว!";
?>

โค้ดข้างต้นทำงานโดยการเตรียมโครงสร้าง INSERT INTO ไว้ก่อน แล้วจึงนำค่าจากตัวแปร $name และ $email เข้าไปแทนที่ในตำแหน่ง ? ตามลำดับ ผลลัพธ์ที่ได้คือข้อมูลจะถูกบันทึกลงฐานข้อมูลอย่างปลอดภัย แม้ผู้ใช้จะพิมพ์คำสั่ง SQL แปลก ๆ เข้ามา ระบบก็จะมองว่าเป็นเพียงชื่อหรืออีเมลทั่วไปเท่านั้น

การดึงข้อมูล (SELECT) และการแสดงผล

เมื่อเรามีข้อมูลในฐานข้อมูลแล้ว ขั้นตอนถัดมาคือการดึงออกมาแสดงผลบนหน้าจอ การใช้ SELECT ร่วมกับ Prepared Statements มีประโยชน์มากเมื่อเราต้องการดึงข้อมูลแบบมีเงื่อนไข เช่น "ดึงข้อมูลผู้ใช้ที่มี ID เท่ากับ 5" โดยเราจะใช้ prepare() อีกครั้งเพื่อกำหนดเงื่อนไขนั้น

สิ่งที่มือใหม่ควรระวังคือการใช้ fetch() หรือ fetchAll() ให้เหมาะสม หากต้องการดึงข้อมูลเพียงแถวเดียวให้ใช้ fetch() แต่ถ้าต้องการดึงมาทั้งตารางให้ใช้ fetchAll() เพื่อรับข้อมูลทั้งหมดออกมาในรูปแบบ Array แล้วนำไปวนลูปแสดงผลด้วย foreach ต่อไป

<?php
require 'db.php';

// ดึงข้อมูลผู้ใช้ที่ ID เป็น 5
$id = 5;
$sql = "SELECT name, email FROM users WHERE id = ?";
$stmt = $pdo->prepare($sql);
$stmt->execute([$id]);

// ดึงข้อมูลออกมา 1 แถว
$user = $stmt->fetch();

if ($user) {
    echo "ชื่อ: " . $user['name'] . " - อีเมล: " . $user['email'];
} else {
    echo "ไม่พบข้อมูลผู้ใช้นี้";
}
?>

ในตัวอย่างนี้ เราใช้ ? แทนค่า $id ซึ่งช่วยป้องกันไม่ให้ใครแอบใส่คำสั่งอื่นมาในตัวแปร $id ได้ การใช้งาน $user['name'] ทำให้เราเข้าถึงข้อมูลได้ตรงไปตรงมาตามชื่อคอลัมน์ในฐานข้อมูล ซึ่งเป็นวิธีที่สะอาดและจัดการง่ายที่สุดสำหรับโปรแกรมเมอร์

สรุป: นำไปปรับใช้ในโปรเจกต์จริง

การทำความเข้าใจ CRUD และ Prepared Statements คือกุญแจสำคัญที่จะเปลี่ยนคุณจาก "คนหัดเขียนโค้ด" ไปสู่ "นักพัฒนาเว็บแอปพลิเคชัน" ที่มีมาตรฐานความปลอดภัย การฝึกฝนจนชินมือจะช่วยให้คุณเขียนโค้ดที่ทั้งทำงานได้จริงและปลอดภัยต่อผู้ใช้งานเสมอ จำไว้ว่าความปลอดภัยไม่ใช่เรื่องเลือกทำ แต่เป็นพื้นฐานที่ต้องใส่ใจตั้งแต่บรรทัดแรก

ตัวอย่างการนำไปใช้ในชีวิตจริง: หากคุณกำลังทำโปรเจกต์ระบบจัดการร้านค้า (Inventory System) คุณต้องใช้ INSERT เพื่อเพิ่มสินค้าใหม่เข้าคลัง และใช้ SELECT เพื่อดึงรายการสินค้ามาแสดงผลบนหน้าเว็บ การเขียนโค้ดโดยใช้ PDO และ Prepared Statements ตั้งแต่เริ่มต้นโปรเจกต์ จะช่วยให้ระบบของคุณแข็งแกร่งและพร้อมขยายตัวไปสู่ฟีเจอร์ที่ซับซ้อนขึ้นโดยไม่ต้องกังวลเรื่องการถูกโจมตีในอนาคต

ในฐานะพี่เลี้ยง ผมแนะนำว่าให้ลองสร้างโปรเจกต์เล็ก ๆ เช่น "สมุดบันทึกรายรับ-รายจ่าย" แล้วลองทำ CRUD ให้ครบทั้ง 4 ส่วนโดยใช้ PDO ดูครับ เมื่อคุณทำจนคล่องแล้ว การก้าวไปเรียนรู้ Framework อย่าง Laravel จะกลายเป็นเรื่องง่ายทันที เพราะคุณมีพื้นฐานความเข้าใจที่แน่นหนาอยู่แล้ว