PHP PHP · 25 вопросов · ~70 мин · ⏱ Таймер 10:00 · Средний ·

PDO и параметризованные запросы

Тест проверяет путь данных от пользовательского значения до SQL без склейки строк и ложного чувства безопасности. Встречаются именованные параметры, fetch modes, конфигурация PDO и ошибки, которые нельзя молча превращать в пустой результат.

Отвечено: 0 из 25

⏱ --:--

💡 Инструкция: Выберите один ответ из пяти. Отделяйте структуру запроса от данных и проверяйте режим ошибок соединения. На выполнение дано 70 минут.

Вопрос 1 из 25

Какой элемент следует добавить в $options, чтобы ошибки SQL и подключения обрабатывались через исключения?

$options = [];
$pdo = new PDO($dsn, $user, $password, $options);

PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION PDO::ATTR_STRINGIFY_FETCHES => false PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC PDO::ATTR_PERSISTENT => true PDO::ATTR_EMULATE_PREPARES => false

Вопрос 2 из 25

Где хранить пароль базы?

$password = getenv('DB_PASSWORD');
$pdo = new PDO($dsn, getenv('DB_USER'), $password);

В защищённом окружении или менеджере секретов В имени класса подключения, которое не выводится пользователю В тексте исключения, чтобы оператор сразу видел учётные данные В параметре URL административного маршрута, закрытого авторизацией В composer.json рабочего приложения рядом с требуемым драйвером

Вопрос 3 из 25

Что описывает DSN?

$dsn = 'pgsql:host=db.internal;port=5432;dbname=shop';
$pdo = new PDO($dsn, $user, $password);

Сам SQL-запрос Режим fetch конкретного statement Пароль пользователя Содержимое транзакции Драйвер и адрес базы: host, port и dbname

Вопрос 4 из 25

Почему persistent connection не следует включать без измерения и понимания среды?

PDO автоматически шифрует все запросы при повторном использовании соединения Соединения сохраняют состояние и могут исчерпать лимиты Постоянные соединения не поддерживают транзакции ни в одном драйвере После завершения запроса постоянное соединение удаляет временные таблицы и состояние Они работают только с SQLite и игнорируются серверными СУБД

Вопрос 5 из 25

Какие режимы PDO задаёт этот конструктор?

$pdo=new PDO($dsn,$user,$pass,[
 PDO::ATTR_ERRMODE=>PDO::ERRMODE_EXCEPTION,
 PDO::ATTR_DEFAULT_FETCH_MODE=>PDO::FETCH_ASSOC,
]);

Создаёт PDO с исключениями и ассоциативным fetch Сразу выполняет проверочный SELECT после подключения Включает эмуляцию запросов и числовые индексы выборки Создаёт постоянное соединение и включает ручные транзакции Оставляет тихий режим ошибок, но возвращает строки объектами

Вопрос 6 из 25

Как безопасно передать email в WHERE?

$stmt = $pdo->prepare('SELECT id FROM users WHERE email = :email');
$stmt->execute(['email' => $email]);

WHERE email = :email и execute(["email" => $email]) Использовать htmlspecialchars в SQL Вставить значение через sprintf без кавычек Поместить email в имя таблицы Склеить строку после addslashes

Вопрос 7 из 25

Можно ли передать имя столбца через :column?

$allowed = ['name', 'created_at'];
$column = in_array($input, $allowed, true) ? $input : 'created_at';
$stmt = $pdo->query("SELECT id, name FROM users ORDER BY $column");

Только если имя в кавычках значения PDO сам экранирует ORDER BY Да, любой placeholder заменяет синтаксис Нет, идентификатор выбирают из белого списка Да, только bindParam

Вопрос 8 из 25

Чем bindParam отличается от bindValue?

$stmt = $pdo->prepare('INSERT INTO tags(name) VALUES (:name)');
$name = 'first';
$stmt->bindParam(':name', $name);
$name = 'second';
$stmt->execute();

bindParam безопасно подставляет имена таблиц и столбцов как параметры bindParam немедленно выполняет запрос при связывании первой переменной bindValue принимает только строки, а bindParam — любые скалярные типы bindParam связывает переменную по ссылке до execute Методы полностью одинаковы и отличаются лишь названием для совместимости

Вопрос 9 из 25

Какие значения будут последовательно записаны в столбец name при двух вызовах execute()?

$st=$pdo->prepare('INSERT INTO tags(name) VALUES (:name)');
$st->bindParam(':name',$name);
$name='A'; $st->execute();
$name='B'; $st->execute();

Связанная переменная становится именем столбца после первого запуска Второй execute запрещён для уже выполненного PDOStatement Оба выполнения сохраняют исходное значение A, заданное при bindParam Оба выполнения используют последнее значение и выводят B дважды Сначала A, затем B — один подготовленный запрос выполнится дважды с текущим значением переменной

Вопрос 10 из 25

Почему эмуляцию prepared statements иногда отключают?

Чтобы драйвер автоматически кодировал значения для вывода в HTML Чтобы разрешить конкатенацию пользовательских значений без параметров Чтобы PDO перестал устанавливать соединение до первого execute Чтобы SQL начал выполняться в браузере, а не на стороне сервера Для нативного поведения драйвера и точного контроля типов

Вопрос 11 из 25

Что возвращает FETCH_ASSOC?

$stmt = $pdo->query('SELECT id, email FROM users');
$row = $stmt->fetch(PDO::FETCH_ASSOC);

Массив, индексированный именами столбцов Одно логическое значение, сообщающее, найдена ли хотя бы строка JSON-строку с именами и значениями всех столбцов Объект PDOStatement, связанный с текущей строкой результата Массив только с числовыми индексами в порядке столбцов

Вопрос 12 из 25

Почему fetchAll рискован для миллиона строк?

$stmt = $pdo->query('SELECT * FROM events');
$all = $stmt->fetchAll(PDO::FETCH_ASSOC);

Удаляет курсор до чтения Материализует весь результат в памяти Преобразует строки в cookie Сортирует данные случайно Всегда делает миллион SQL-запросов

Вопрос 13 из 25

Что вернёт fetch после конца результата?

Последнюю строку повторно Пустой массив всегда false null PDOException

Вопрос 14 из 25

Как избежать конфликта id из двух таблиц JOIN?

Задать явные псевдонимы user_id и order_id Использовать SELECT * Удалить первичные ключи Переключиться на FETCH_NUM и угадывать позиции Сериализовать statement

Вопрос 15 из 25

Что делает FETCH_COLUMN?

Возвращает значение выбранного столбца строки Всю таблицу как объект, свойства которого совпадают с именами столбцов Изменяет тип выбранного столбца в схеме базы Возвращает количество столбцов текущей строки результата Создаёт индекс по номеру столбца, переданному в fetchColumn

Вопрос 16 из 25

Что содержит SQLSTATE?

try {
    $pdo->exec($sql);
} catch (PDOException $error) {
    $sqlState = $error->errorInfo[0] ?? $error->getCode();
}

Текст SQL без параметров всегда Стандартизованный код категории ошибки базы Код HTTP Полный пароль PHP stack trace

Вопрос 17 из 25

Почему нельзя показывать PDOException пользователю?

try {
    $repository->save($entity);
} catch (PDOException $error) {
    $logger->error('Database failure', ['exception' => $error]);
    throw new ServiceUnavailableException('Сервис временно недоступен');
}

PDOException невозможно преобразовать в строку и поэтому ответ будет пуст Браузер по стандарту скрывает текст исключения, поэтому риск только в журнале PDOException всегда не содержит текста, пути и сведений о драйвере Сообщение может раскрыть схему, запрос, путь и параметры соединения Любое сообщение PDO синтаксически ломает JSON, даже после сериализации

Вопрос 18 из 25

Что сделать с транзакцией после исключения?

Начать вторую транзакцию до rollback Игнорировать состояние Очистить локальную переменную $pdo, не выполняя rollback При активной транзакции — rollback и повторный throw Всегда commit

Вопрос 19 из 25

Почему catch (PDOException) { return []; } опасен?

PDOException не наследуется от Throwable и не попадёт в такой catch return из catch автоматически фиксирует открытую транзакцию PHP запрещает возвращать массив из блока обработки исключения Сбой базы становится неотличим от честного пустого результата Пустой массив раскрывает строку подключения через тип результата

Вопрос 20 из 25

Что полезно журналировать при ошибке запроса?

Весь входной POST без фильтрации, ограничения размера и маскирования Операцию, SQLSTATE, request_id и безопасные ID Полный номер банковской карты и другие значения связанных сущностей Только слово SQL без операции, состояния драйвера и идентификатора запроса Полный пароль, строку подключения и токены для точного повторения запроса

Вопрос 21 из 25

Почему mock PDO не заменяет интеграционный тест запроса?

$repository = new UserRepository($realTestDatabase);
$repository->save(new User(1, 'a@example.test'));
$loaded = $repository->find(1);
assert($loaded?->email === 'a@example.test');

PDO нельзя подменить тестовым двойником из-за внутренних классов Интеграционные тесты репозитория не выполняют SQL, а читают только интерфейс Поведение СУБД не влияет на типы, ограничения и план запроса Он не проверяет синтаксис, типы и поведение реальной СУБД Любой mock PDO незаметно подключается к рабочей базе при вызове execute

Вопрос 22 из 25

Какие данные нужны для проверки JOIN?

INSERT INTO users(id, email) VALUES
  (1, 'one@example.test'),
  (2, 'two@example.test'),
  (3, 'three@example.test');
INSERT INTO orders(id, user_id) VALUES
  (10, 1), (11, 1), (12, 3);

Случайные записи без заранее определённого ожидаемого результата Совпадение, отсутствие совпадения и несколько связанных строк Только пустая база, подтверждающая отсутствие синтаксической ошибки Одна идеально связанная пара без отсутствующих и множественных связей Только строка с максимальным id в каждой таблице

Вопрос 23 из 25

Когда смотреть EXPLAIN?

Для проверки синтаксиса PHP-файла, где создаётся PDOStatement Только до создания таблицы: на существующих данных план уже нельзя получить После каждого echo, чтобы связать вывод со стоимостью запроса Чтобы зашифровать текст запроса перед отправкой драйверу При медленном запросе или изменении объёма и индекса

Вопрос 24 из 25

Почему SQLite в памяти может не воспроизвести PostgreSQL?

Обе СУБД одинаково обрабатывают типы, ограничения и конкурентные записи PostgreSQL не имеет транзакций в памяти и поэтому проще SQLite Слой PDO полностью устраняет различия диалектов и поведения транзакций SQLite не поддерживает SELECT и потому годится только для команд записи Отличаются типы, диалект, ограничения и конкурентность

Вопрос 25 из 25

Как проверить отсутствие N+1?

Считать запросы при разном числе объектов Увеличить memory_limit, не измеряя обращения к базе Проверить только готовый HTML: число запросов из ответа не наблюдается Отключить индексы и считать отсутствие замедления доказательством Сравнить длину SQL-строк для одного и большого списка объектов

Ответьте на все 25 вопросов, чтобы получить результат

🔗 Встроить тест на свой сайт (iframe) ▼

Скопируйте код и вставьте в любое место на вашем сайте:

Также доступна прямая ссылка на embed-страницу