Instructions préparées et liaison de paramètres
Utiliser prepare, bindParam et execute pour empêcher les injections SQL.
Instructions préparées et liaison de paramètres est une leçon PHP Academy gratuite sur CoddyKit. Ceci est la leçon 2 sur 4. Tu peux lire la leçon complète ci-dessous gratuitement — puis la pratiquer en direct dans le navigateur avec un éditeur de code intégré et un tuteur IA 24/7. Elle fait partie du parcours d'apprentissage PHP Academy, et ta progression se synchronise sur le web et l'application CoddyKit. Le cours PHP Academy comprend 4 leçons au total.
Pourquoi utiliser des requêtes préparées
Les requêtes préparées séparent la structure SQL des données. Les données saisies par l’utilisateur sont toujours traitées comme des valeurs — jamais comme du code SQL — ce qui rend l’injection SQL impossible.
prepare() + execute()
Principe de base : préparez la requête avec des paramètres de substitution, puis exécutez-la avec des valeurs.
<?php
$stmt = $pdo->prepare("SELECT * FROM users WHERE email = ?");
$stmt->execute([$_POST["email"]]);
$user = $stmt->fetch();Paramètres de substitution nommés
Utilisez des paramètres de substitution nommés (:name) pour plus de clarté, notamment lorsque la même valeur apparaît plusieurs fois.
<?php
$stmt = $pdo->prepare(
"INSERT INTO users (name, email) VALUES (:name, :email)"
);
$stmt->execute([':name' => "Alice", ':email' => "alice@example.com"]);bindParam contre bindValue
bindParam lie une variable par référence — sa valeur est lue au moment de l’exécution. bindValue lie une valeur immédiatement.
<?php
$name = "Bob";
$stmt = $pdo->prepare("INSERT INTO users (name) VALUES (:name)");
$stmt->bindParam(":name", $name);
$name = "Carol";
$stmt->execute(); // inserts "Carol"Exemple avec bindValue
Utilisez bindValue lorsque vous voulez figer la valeur au moment de la liaison.
<?php
$stmt = $pdo->prepare("SELECT * FROM products WHERE price < :max");
$stmt->bindValue(":max", 50.00, PDO::PARAM_INT);
$stmt->execute();Constantes de type
Le troisième paramètre, facultatif, indique le type de données : PDO::PARAM_INT, PDO::PARAM_STR, PDO::PARAM_BOOL, PDO::PARAM_NULL.
Réexécuter des requêtes préparées
Une requête préparée peut être exécutée plusieurs fois — la requête est compilée une seule fois sur le serveur.
<?php
$stmt = $pdo->prepare("INSERT INTO logs (msg) VALUES (:msg)");
foreach ($messages as $msg) {
$stmt->execute([':msg' => $msg]);
}rowCount()
Après INSERT/UPDATE/DELETE, rowCount() renvoie le nombre de lignes affectées.
<?php
$stmt = $pdo->prepare("DELETE FROM users WHERE active = 0");
$stmt->execute();
echo $stmt->rowCount()." users deleted";lastInsertId()
Après un INSERT, récupérez la clé primaire auto-incrémentée avec $pdo->lastInsertId().
<?php
$stmt = $pdo->prepare("INSERT INTO articles (title) VALUES (:t)");
$stmt->execute([':t' => "My Post"]);
$newId = $pdo->lastInsertId();Ne concaténez jamais les données saisies par l’utilisateur
N’écrivez jamais ceci : "SELECT * FROM users WHERE name = '".$name."'". Utilisez toujours des paramètres de substitution — même si vous avez « nettoyé » les données saisies.
Objet PDOStatement
prepare() renvoie un PDOStatement avec : execute(), fetch(), fetchAll(), bindParam(), bindValue(), rowCount().
Résumé
Utilisez toujours des requêtes préparées pour les requêtes contenant des données externes. Préférez les paramètres de substitution nommés. Utilisez bindValue pour les valeurs immédiates et bindParam pour les liaisons dans une boucle.
Vérification rapide
Quand bindParam lit-il sa valeur ?
Questions Fréquemment Posées
La leçon « Instructions préparées et liaison de paramètres » est-elle gratuite ?
Oui — le texte complet de « Instructions préparées et liaison de paramètres » est gratuit à lire ici sur le web. Pour la pratiquer de manière interactive (un éditeur de code intégré et un tuteur IA 24/7) et déverrouiller le reste du cours PHP Academy, passe à CoddyKit PRO. Le cours PHP Academy comprend 4 leçons au total.
Qu'est-ce que j'apprendrai dans « Instructions préparées et liaison de paramètres » ?
Utiliser prepare, bindParam et execute pour empêcher les injections SQL. Tu pratiques PHP Academy avec du code pratique que tu exécutes directement dans le navigateur, et un tuteur IA 24/7 répond à tes questions au fur et à mesure que tu avances dans la leçon.
Dois-je avoir de l'expérience pour commencer PHP Academy ?
Aucune expérience préalable n'est requise. PHP Academy sur CoddyKit est structuré pour les débutants jusqu'aux apprenants avancés, donc tu peux commencer ici ou depuis le début et avancer à ton rythme. Ceci est la leçon 2 sur 4.
Combien de temps prend la leçon « Instructions préparées et liaison de paramètres » ?
La plupart des leçons CoddyKit prennent environ 5–10 minutes. Chacune est courte et interactive, tu progresses régulièrement et tu repiques exactement où tu t'es arrêté sur le web et l'app.
Peux-tu écrire et exécuter du code dans cette leçon PHP Academy ?
Oui. Chaque leçon PHP Academy inclut un éditeur de code intégré, tu écris et exécutes du vrai code directement dans ton navigateur et tu reçois des retours IA instantanés — aucune configuration locale requise.
Toutes les leçons de ce cours
- Se connecter à MySQL avec PDO
- Instructions préparées et liaison de paramètres
- Récupérer des résultats avec PDO
- Transactions avec PDO