PHP: полный мануал с примерами, функциями и ООП

Задача: хранить каталог и показывать его на странице

У небольшого магазина есть три товара. Сегодня посетитель открывает страницу, завтра открывает её снова — названия и остатки должны сохраниться. Обычный PHP-массив живёт во время выполнения скрипта. База данных хранит записи между запусками и умеет искать, изменять и связывать их.

Сначала создадим настоящий файл базы SQLite, таблицу products, добавим три товара и выведем их. Затем получим страницу каталога и разберём отказ подключения, неправильный файл, отсутствующую таблицу и пустой результат. Для первого запуска отдельный сервер базы не нужен; переход к MySQL разобран дальше.

Это будущие строки таблицы. Столбец задаёт одно свойство: например, stock хранит число штук. id отличает записи даже при одинаковых названиях. Таблица похожа на лист с фиксированными колонками; в отличие от рисунка таблицы, СУБД выполняет запросы и проверяет ограничения данных.

Пригодятся переменные, массивы и foreach. Новые команды SQL и операции PDO ниже объясняются на месте. Если вы ищете конкретный метод, после учебного пути находится полный раздел PDO с категориями методов.

Подготовка: где писать код и чем его запускать

Создайте отдельную учебную папку catalog-lesson. Не проводите первые опыты в рабочей базе магазина. Каждый шаг ниже имеет самостоятельный скачиваемый пример; дополнительные PHP-файлы из его архива должны лежать рядом с example.php. В следующих шагах они лишь воспроизводят уже объяснённую таблицу, чтобы пример можно было запустить отдельно.

Нужны PHP и расширение pdo_sqlite. В терминале, открытом в учебной папке, команда php example.php выполняет файл. В редакторе файл сохраняют как UTF-8 без BOM. PHP-код начинается с <?php; для файла только с PHP закрывающий тег не требуется.

php --ini
php -m

Первая команда показывает, какой php.ini использует командная строка. В списке второй должны быть PDO и pdo_sqlite. В Windows подходящее расширение обычно включают строкой extension=pdo_sqlite в ini установленной сборки; в Linux способ установки зависит от пакетов дистрибутива. Затем перезапускают PHP/веб-службу. CLI и PHP, обслуживающий сайт, могут читать разные настройки.

<?php
echo in_array('sqlite', PDO::getAvailableDrivers(), true)
    ? "Можно запускать каталог\n"
    : "Нужно включить pdo_sqlite\n";

Можно запускать каталог

Шаг 1. Открыть файл базы и понять, что вернулось

<?php
$path = __DIR__ . '/catalog.sqlite';
$db = new PDO('sqlite:' . $path);
echo "Соединение с каталогом открыто\n";

Соединение с каталогом открыто

SQLite обычно создаёт отсутствующий файл, если существует папка и разрешена запись. Родительские папки автоматически не создаются. У MySQL другое поведение: запись dbname=catalog выбирает уже существующую базу на сервере, а не создаёт её. Подключение и создание таблицы — два разных действия.

После завершения скрипта обычное соединение освобождается, а файл остаётся. При следующем запуске тот же путь откроет те же данные. Строка sqlite::memory: создаёт другую, временную базу: она исчезает вместе с соединением. Здесь используем файл, чтобы увидеть сохранение между запусками.

Шаг 2. Создать таблицу: что означает каждая строка SQL

Открытая база пока не знает, что такое товар. Зададим структуру: номер, название, количество. SQL — строка внутри PHP; её выполняет SQLite после вызова $db->exec(...). Стрелка означает «вызвать операцию у этого объекта».

<?php
$db = new PDO('sqlite:' . __DIR__ . '/catalog.sqlite');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->exec("CREATE TABLE products (
    id INTEGER PRIMARY KEY,
    name TEXT NOT NULL,
    stock INTEGER NOT NULL CHECK (stock >= 0)
)");
echo "Таблица products создана\n";

Таблица products создана

В этом первом примере предполагается новая база. Повторный запуск в той же папке даст ошибку «table products already exists». Это сигнал, что таблица уже есть. Для повторяемой установки используют CREATE TABLE IF NOT EXISTS, но эта команда не исправляет старую структуру: добавление столбца позже требует отдельного изменения схемы, называемого миграцией. Не удаляйте рабочую таблицу ради устранения такого сообщения.

SQLite имеет собственные правила типов; объявление INTEGER само по себе не делает всякую обычную таблицу строго типизированной. Для строгого режима предусмотрены таблицы STRICT. Здесь передаём целые числа; данные формы всё равно потребуется проверить до записи. Правила SQLite нельзя автоматически переносить на MySQL.

Шаг 3. Записать товары: INSERT не равен SELECT

Сначала внесём три известные записи. Здесь строки заданы автором, а не пользователем сайта. Переменные из формы этим способом в SQL не вставляют — подготовленный запрос разобран после чтения.

<?php
require __DIR__ . '/create.php';
$db->exec("INSERT INTO products (id, name, stock) VALUES
    (1, 'Молоток', 8),
    (2, 'Перчатки', 15),
    (3, 'Кисть', 0)");
echo "В каталог записаны три товара\n";

В каталог записаны три товара

$db->exec("INSERT INTO products (id, name, stock) VALUES
    (1, 'Молоток', 8),
    (2, 'Перчатки', 15),
    (3, 'Кисть', 0)");

(1, 'Молоток', 8) значит: id равен 1, name — Молоток, stock — 8. Несколько групп после VALUES добавляют несколько записей. Пока мы ничего не выводили из базы: сообщение echo только подтверждает, что код дошёл до следующей строки. Следующий шаг действительно прочитает сохранённые товары.

Повторная вставка id=1 вызовет конфликт первичного ключа. Нельзя скрыть ошибку и считать импорт выполненным. Для повторяемого импорта сначала решают, должна ли существующая запись обновиться, пропуститься или считаться конфликтом. Это отдельное требование, а не повод автоматически стирать таблицу.

Шаг 4. Прочитать таблицу: от SQL к многомерному массиву

Теперь базе отдаётся команда SELECT. Она выбирает столбцы id, name и stock из products; ORDER BY id задаёт порядок. Без ORDER BY порядок строк не обещан. query выполняет запрос и возвращает объект результата PDOStatement. Из него ещё нужно прочитать строки.

<?php
require __DIR__ . '/prepare.php';
$statement = $db->query('SELECT id, name, stock FROM products ORDER BY id');
$products = $statement->fetchAll(PDO::FETCH_ASSOC);
echo $products[0]['name'], "\n";
echo $products[0]['stock'], "\n";

Молоток
8

После fetchAll переменная $products имеет такую форму. Это уже обычные PHP-массивы; JSON в этом процессе не участвовал:

$products = [
    ['id' => 1, 'name' => 'Молоток', 'stock' => 8],
    ['id' => 2, 'name' => 'Перчатки', 'stock' => 15],
    ['id' => 3, 'name' => 'Кисть', 'stock' => 0],
];

Внешний массив — список товаров; каждый внутренний массив — поля одного товара. Поэтому он многомерный. На первом уровне индекс начинается с 0. Это индекс PHP-массива, не значение столбца id: после фильтрации первый элемент [0] может содержать товар id=37. Не путайте адрес элемента массива с идентификатором записи.

В примере выборка гарантированно содержит три строки. В приложении она может оказаться пустой: обращение к [0] без проверки тогда неверно. Ниже разберём пустой каталог и поиск одного товара.

Шаг 5. Вывести все строки через foreach

<?php
require __DIR__ . '/prepare.php';
$statement = $db->query('SELECT id, name, stock FROM products ORDER BY id');
$products = $statement->fetchAll(PDO::FETCH_ASSOC);
foreach ($products as $product) {
    echo $product['name'], ': ', $product['stock'], " шт.\n";
}

Молоток: 8 шт.
Перчатки: 15 шт.
Кисть: 0 шт.

Для вывода известных полей нужен один foreach. Второй вложенный цикл понадобился бы, если бы вы намеренно перебирали все столбцы каждой строки. Здесь названия полей известны — читаем их по ключам. В варианте foreach ($products as $index => $product) переменная $index содержит 0, 1, 2; номер товара по-прежнему находится в $product['id'].

После fetchAll данные можно перебирать снова: они уже в массиве. Напротив, результат запроса читается последовательно; повторный fetchAll того же полностью прочитанного statement обычно даст пустой массив. Для новой выборки выполняют запрос заново.

Пустая таблица, отсутствующая таблица и ошибка — три разных результата

<?php
require __DIR__ . '/create.php';
$statement = $db->query('SELECT id, name, stock FROM products ORDER BY id');
$products = $statement->fetchAll(PDO::FETCH_ASSOC);
if ($products === []) {
    echo "Товаров пока нет. Добавьте первый товар.\n";
}
foreach ($products as $product) {
    echo $product['name'], "\n";
}

Товаров пока нет. Добавьте первый товар.

Нельзя проверять пустой fetchAll через === false: в актуальном PHP результат этого метода — массив, при отсутствии строк он пуст. Для одного fetch договор другой: отсутствие следующей строки обозначается false. Подробности — fetchAll и fetch.

На Stack Overflow встречается типичная ошибка: пустую выборку принимают за false и не показывают сообщение «ничего не найдено». Здесь договор результата проверяется явно. Неопределённая переменная, неверное имя столбца и пустой набор — тоже разные причины; не маскируйте их одним @.

Шаг 6. Передать данные пользователя через параметры

Из формы или интеграции приходит название: Набор O'Brien. Апостроф — обычная часть данных, но внутри склеенного SQL он может изменить смысл команды. Разделим шаблон SQL и значения. Сначала prepare готовит команду с именованными местами :name и :stock, потом execute передаёт массив значений.

<?php
require __DIR__ . '/create.php';
$name = "Набор O'Brien";
$stock = 4;
$insert = $db->prepare('INSERT INTO products (name, stock) VALUES (:name, :stock)');
$insert->execute(['name' => $name, 'stock' => $stock]);
$product = $db->query('SELECT name, stock FROM products')->fetch(PDO::FETCH_ASSOC);
echo $product['name'], ': ', $product['stock'], " шт.\n";

Набор O'Brien: 4 шт.

Подготовленный запрос защищает границу между SQL и значениями. Он не проверяет, разрешено ли пользователю менять каталог, и не запрещает отрицательное число вместо остатка. Приём формы требует проверки метода, полей, прав и CSRF; подробный путь находится в обработке HTML-форм. Не передавайте весь $_POST в execute: соберите только предусмотренные параметры.

<?php
require __DIR__ . '/prepare.php';
$find = $db->prepare('SELECT name, stock FROM products WHERE id = :id');
$find->execute(['id' => 2]);
$product = $find->fetch(PDO::FETCH_ASSOC);
if ($product === false) {
    echo "Товар не найден\n";
} else {
    echo $product['name'], ': ', $product['stock'], " шт.\n";
}

Перчатки: 15 шт.

<?php
require __DIR__ . '/prepare.php';
$find = $db->prepare('SELECT name FROM products WHERE id = :id');
$find->execute(['id' => 99]);
$product = $find->fetch(PDO::FETCH_ASSOC);
echo $product === false ? "Товар не найден\n" : $product['name'];

Товар не найден

Изменить запись и удалить выбранную: UPDATE, DELETE и WHERE

Магазин получил ещё четыре молотка. Создавать второй товар с тем же названием не нужно: меняется остаток существующей записи. UPDATE выбирает таблицу, SET задаёт изменение, WHERE ограничивает, к каким строкам оно относится.

<?php
require __DIR__ . '/prepare.php';
$update = $db->prepare('UPDATE products SET stock = stock + :added WHERE id = :id');
$update->execute(['added' => 4, 'id' => 1]);
$product = $db->query('SELECT name, stock FROM products WHERE id = 1')->fetch(PDO::FETCH_ASSOC);
echo $product['name'], ': ', $product['stock'], " шт.\n";

Молоток: 12 шт.

Без WHERE команда обновит все строки таблицы. Параметр защищает SQL от подмены текста, но не защищает от ошибочного бизнес-решения «изменить все товары». Сначала сформулируйте, какие записи разрешено менять, и проверьте это условие на SELECT. Для списания нельзя слепо делать stock - quantity: нужно не уйти ниже нуля и учесть одновременно выполняемые покупки; это разобрано в транзакциях и условном UPDATE.

<?php
require __DIR__ . '/prepare.php';
$delete = $db->prepare('DELETE FROM products WHERE id = :id');
$delete->execute(['id' => 3]);
$products = $db->query('SELECT name FROM products ORDER BY id')->fetchAll(PDO::FETCH_ASSOC);
foreach ($products as $product) {
    echo $product['name'], "\n";
}

Молоток
Перчатки

Удаление товара в настоящем магазине требует проверки прав и связей с заказами. Часто товар лучше пометить архивным, чтобы история покупок продолжала ссылаться на него. DELETE FROM products без WHERE очистит всю таблицу; DROP TABLE products удалит ещё и её структуру. Это три разных операции. Вывод confirm в браузере не заменяет проверку прав на сервере.

Для SELECT не используйте rowCount() как универсальное количество результатов. Для MySQL UPDATE число может описывать изменённые строки, а при другом режиме — совпавшие: запись того же значения и отсутствие товара не всегда различаются одной такой цифрой. Нужна ли вам идемпотентность, конфликт версии или сообщение «товар не найден», определяет договор операции.

Что происходит, когда подключение или запрос не удались

try отмечает действия, при которых ожидаем отказ; catch (PDOException $error) принимает ошибку PDO. При исключении выполнение внутри try прерывается в месте отказа: код ниже проблемной строки не исполняется, управление переходит в catch. Затем, если мы не завершили скрипт, выполнение продолжается после catch. Это не автоматическое исправление базы.

<?php
try {
    $db = new PDO('sqlite:' . __DIR__ . '/missing/catalog.sqlite');
    echo "Подключились\n";
} catch (PDOException $error) {
    echo "Не удалось открыть базу. Проверьте путь и папку.\n";
}
echo "Проверка подключения завершена\n";

Не удалось открыть базу. Проверьте путь и папку.
Проверка подключения завершена

<?php
require __DIR__ . '/prepare.php';
$wrongDb = new PDO('sqlite:' . __DIR__ . '/catlaog.sqlite');
$wrongDb->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
echo "Подключение открылось\n";
try {
    $wrongDb->query('SELECT name FROM products');
} catch (PDOException $error) {
    echo "В открытом файле нет таблицы products\n";
}

Подключение открылось
В открытом файле нет таблицы products

<?php
$db = new PDO('sqlite:' . __DIR__ . '/notes.sqlite');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
try {
    $db->query('SELECT name FROM products');
} catch (PDOException $error) {
    echo "Не удалось прочитать каталог: файл не является базой SQLite\n";
}

Не удалось прочитать каталог: файл не является базой SQLite

Для рабочего приложения разделяют установку и обычное чтение. Установщик сознательно создаёт новый файл. Страница каталога ожидает существующий файл и сообщает об ошибке настройки, если его нет. Проверка is_file до PDO помогает обнаружить опечатку, но не является атомарной гарантией: файл может исчезнуть между проверкой и открытием. Для строгого запрета создания используйте режим открытия драйвера, если он доступен, или SQLite3 с SQLITE3_OPEN_READWRITE без SQLITE3_OPEN_CREATE.

Локально разработчику нужен код и контекст ошибки. Посетителю — понятный ответ без пароля, DSN, трассировки и SQL с личными данными. На боевом сайте display_errors выключен, журнал закрыт от скачивания. Не продолжайте обработку так, будто данные записались, если execute завершился исключением. В проекте ниже это даёт HTTP 503 и сообщение «Каталог временно недоступен».

Готовый проект: таблица из базы становится страницей сайта

Соберём разобранные шаги в маленький сайт. Это каталог с тремя товарами: названия и остатки берутся из файла базы. У Кисти нулевой остаток показан как «Нет в наличии». Файлы базы и установки находятся вне публичной папки, чтобы сервер отдавал только страницу каталога.

catalog-project/
  bin/init.php        — однократное создание учебных данных
  data/               — здесь появится catalog.sqlite
  src/database.php    — подключение к существующей базе
  public/index.php    — запрос и HTML-страница

В полном архиве примера есть все перечисленные файлы. В терминале из корня проекта выполните:

php bin/init.php
php -S 127.0.0.1:8090 -t public

Первая команда создаёт базу; повторный запуск отказывается перезаписывать существующий каталог. Вторая запускает учебный локальный сервер. Откройте http://127.0.0.1:8090/. Встроенный сервер PHP предназначен для разработки, а не для публикации магазина в интернете.

Здесь показан сохранённый HTML, полученный реальным запуском данного PHP-проекта. Это не изображение таблицы и не макет с подставленными вручную числами. Чтобы менять данные и получать новое состояние, запустите проект из архива.

<?php
require __DIR__ . '/bin/init.php';

Созданы catalog.sqlite и три товара.

bin/init.php — установка отдельно от просмотра страницы

<?php
$root = dirname(__DIR__);
$directory = $root . '/data';
if (!is_dir($directory) && !mkdir($directory, 0700, true)) {
    exit("Не удалось создать папку data\n");
}
$path = $directory . '/catalog.sqlite';
if (is_file($path)) {
    exit("База уже существует. Учебные данные не перезаписаны.\n");
}
$db = new PDO('sqlite:' . $path);
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->exec('CREATE TABLE products (
    id INTEGER PRIMARY KEY,
    name TEXT NOT NULL,
    stock INTEGER NOT NULL CHECK (stock >= 0)
)');
$insert = $db->prepare('INSERT INTO products (name, stock) VALUES (:name, :stock)');
$insert->execute(['name' => 'Молоток', 'stock' => 8]);
$insert->execute(['name' => 'Перчатки', 'stock' => 15]);
$insert->execute(['name' => 'Кисть', 'stock' => 0]);
echo "Созданы catalog.sqlite и три товара.\n";

Этот файл запускается из командной строки. dirname(__DIR__) поднимается из bin в корень проекта. mkdir создаёт приватную папку data, а is_file не даёт затереть уже существующую базу. Веб-посетитель не вызывает установщик при каждом открытии страницы. CREATE TABLE и INSERT выполняются только на этапе установки.

src/database.php — одно подключение к известному файлу

<?php
$path = dirname(__DIR__) . '/data/catalog.sqlite';
if (!is_file($path)) {
    throw new RuntimeException('Файл каталога отсутствует: сначала запустите bin/init.php');
}
return new PDO('sqlite:' . $path, null, null, [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
]);

В этом файле return возвращает объект в то место, где выполнен require. Поэтому выражение $db = require ... получает готовое соединение. Это подключение файла, а не глобальная переменная. Проверка отсутствующего файла превращает ошибку настройки в явный отказ вместо случайного нового пустого каталога. Папка data должна принадлежать приложению, а не произвольным пользователям.

public/index.php — прочитать строки и вывести HTML

<?php
$requestPath = parse_url($_SERVER['REQUEST_URI'], PHP_URL_PATH);
if ($requestPath !== '/' && $requestPath !== '/index.php') {
    http_response_code(404);
    exit('Страница не найдена');
}
try {
    $db = require dirname(__DIR__) . '/src/database.php';
    $statement = $db->query('SELECT id, name, stock FROM products ORDER BY id');
    $products = $statement->fetchAll();
} catch (PDOException | RuntimeException $error) {
    error_log('catalog_unavailable type=' . get_class($error) . ' code=' . $error->getCode());
    http_response_code(503);
    header('Content-Type: text/plain; charset=UTF-8');
    exit('Каталог временно недоступен. Попробуйте позже.');
}
header('Content-Type: text/html; charset=UTF-8');
?>
<!doctype html>
<html lang="ru">
<meta charset="utf-8">
<meta name="viewport" content="width=device-width, initial-scale=1">
<title>Каталог мастерской</title>
<style>
body { margin: 0; padding: 24px; background: #f3f7f5; color: #193d40; font: 17px/1.5 system-ui, sans-serif; }
main { max-width: 680px; margin: auto; padding: 24px; border: 1px solid #c7d8d3; border-radius: 16px; background: white; }
h1 { font-size: 26px; line-height: 1.2; margin-top: 0; }
table { width: 100%; border-collapse: collapse; }
caption { text-align: left; margin-bottom: 12px; }
th, td { padding: 12px 6px; text-align: left; border-bottom: 1px solid #dbe5e1; }
th:last-child, td:last-child { text-align: right; }
small { display: block; margin-top: 20px; color: #526b6e; }
@media (max-width: 420px) { body { padding: 12px; } main { padding: 16px; } }
</style>
<main>
<h1>Каталог мастерской</h1>
<?php if ($products === []): ?>
    <p>Товаров пока нет. Добавьте первый товар.</p>
<?php else: ?>
    <table>
        <caption>Остатки из базы SQLite</caption>
        <thead><tr><th scope="col">Товар</th><th scope="col">Наличие</th></tr></thead>
        <tbody>
        <?php foreach ($products as $product): ?>
            <tr>
                <td><?= htmlspecialchars($product['name'], ENT_QUOTES | ENT_SUBSTITUTE, 'UTF-8') ?></td>
                <td><?= $product['stock'] > 0 ? (int) $product['stock'] . ' шт.' : 'Нет в наличии' ?></td>
            </tr>
        <?php endforeach; ?>
        </tbody>
    </table>
<?php endif; ?>
<small>Строки прочитаны из products и показаны через foreach.</small>
</main>
</html>

PHP сначала выполняет запрос, затем формирует HTML. В шаблоне foreach (...): и endforeach; — альтернативная запись того же цикла; она удобна среди тегов. <?= ... ?> выводит значение, как echo. htmlspecialchars превращает специальные символы названия в безопасный текст HTML: товар с именем <script> будет текстом, а не выполняемым скриптом. Эта функция не защищает SQL — это другая граница данных.

Обработка ошибки расположена до HTML. Поэтому status 503 отправляется до вывода страницы; exit прекращает дальнейшее выполнение. Пустой массив, напротив, оставляет ответ 200 и показывает «Товаров пока нет». При ошибке не выводится пустая таблица под видом исправного каталога.

Что попробовать самостоятельно

• В init.php перед первым запуском поменяйте запас Молотка с 8 на 3. После установки на странице появится 3 шт.
• В отдельной копии проекта переименуйте data/catalog.sqlite. Страница покажет отказ вместо создания новой базы.
• После установки очистите таблицу в своей учебной базе: при следующем запросе увидите пустое состояние. Не выполняйте это действие на рабочей базе.
• Добавьте товар с названием «Кисть & валик»: на странице амперсанд будет обычным текстом.

MySQL: сначала база и права, затем подключение из PHP

MySQL обычно работает отдельной службой. Здесь уже нужны адрес сервера, база, пользователь и пароль. PDO отправляет команды этой службе; данные не хранятся в PHP-файле. Успешный пример SQLite не проверяет наличие MySQL на вашем компьютере.

Установите или запустите учебный MySQL и включите pdo_mysql в используемом PHP. SQL ниже выполняет администратор базы в клиенте MySQL или панели хостинга. Пароль-заглушку надо заменить. Это отдельная подготовка окружения, не код посетительской страницы. На хостинге создание базы и пользователя часто доступно только в панели, с выданным провайдером именем базы.

CREATE DATABASE catalog CHARACTER SET utf8mb4;
CREATE USER 'catalog_app'@'localhost' IDENTIFIED BY 'REPLACE_WITH_LONG_RANDOM_PASSWORD';
GRANT SELECT, INSERT, UPDATE, DELETE ON catalog.* TO 'catalog_app'@'localhost';
USE catalog;
CREATE TABLE products (
    id INT UNSIGNED AUTO_INCREMENT PRIMARY KEY,
    name VARCHAR(200) NOT NULL,
    stock INT UNSIGNED NOT NULL
);
INSERT INTO products (name, stock) VALUES ('Молоток', 8), ('Перчатки', 15), ('Кисть', 0);

Пользователю приложения выданы чтение и изменение записей, но не создание/удаление таблиц. Схему создаёт установщик с отдельными правами. Имя host в учётной записи MySQL — часть правил допуска: пользователь для localhost не автоматически разрешён с другого компьютера. Дистанционное подключение и TLS настраиваются отдельно; не открывайте административный доступ всему интернету.

<?php
$dsn = 'mysql:host=localhost;dbname=catalog;charset=utf8mb4';
$user = getenv('CATALOG_DB_USER');
$password = getenv('CATALOG_DB_PASSWORD');
if ($user === false || $password === false) {
    exit("Задайте CATALOG_DB_USER и CATALOG_DB_PASSWORD\n");
}
try {
    $db = new PDO($dsn, $user, $password, [
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
        PDO::ATTR_EMULATE_PREPARES => false,
    ]);
    $statement = $db->query('SELECT name, stock FROM products ORDER BY id');
    foreach ($statement->fetchAll(PDO::FETCH_ASSOC) as $product) {
        echo $product['name'], ': ', $product['stock'], " шт.\n";
    }
} catch (PDOException $error) {
    error_log('catalog_database_failure SQLSTATE=' . $error->getCode());
    exit("Каталог недоступен. Проверьте журнал приложения.\n");
}

Молоток: 8 шт.
Перчатки: 15 шт.
Кисть: 0 шт.

Код примера не разбирает текст ошибки по словам: сообщения зависят от сервера и языка. Для автоматических решений используют SQLSTATE и код конкретного драйвера. Подробности в обработке ошибок PDO. MySQLi — другой PHP-интерфейс для MySQL; его методы нельзя вызывать на объекте PDO. Сравнение и справочник находятся в разделе MySQLi.

Куда двигаться после первого каталога

Теперь у вас есть хранилище, команда SQL, массив строк и страница с результатом. Дальнейшие темы решают конкретные растущие требования:

Следующие разделы главы — подготовленные запросы, динамические фильтры, цена запросов и тонкости данных. Это продолжение после базового пути, а не требование понять всё сразу.

Что такое база данных, запрос SQL и результат PDO

Массив в одном запросе исчезает после его завершения. База данных хранит товары между запросами и помогает искать их по условиям. PHP отправляет ей SQL-команду; PDO — интерфейс PHP для разговора с разными базами через установленный драйвер.

Что уже пригодится. переменная и присваивание, массив, объявление и вызов функции, объект и вызов метода

new PDO(...) создаёт объект соединения. -> вызывает его метод. :sku в SQL — место для значения, которое передадим отдельно. fetch(PDO::FETCH_ASSOC) возвращает строку в виде массива с именами столбцов.

<?php
declare(strict_types=1);

$db = new PDO('sqlite::memory:');
$db->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$db->exec('CREATE TABLE products (sku TEXT PRIMARY KEY, title TEXT NOT NULL)');
$insert = $db->prepare('INSERT INTO products (sku, title) VALUES (:sku, :title)');
$insert->execute(['sku' => 'BOLT-1', 'title' => 'Болт']);
$query = $db->prepare('SELECT title FROM products WHERE sku = :sku');
$query->execute(['sku' => 'BOLT-1']);
$product = $query->fetch(PDO::FETCH_ASSOC);
echo $product === false ? 'Не найдено' : $product['title'];

Болт

Следующая ступень. Ниже отделяем SELECT от INSERT/UPDATE/DELETE, обрабатываем несколько строк и понимаем, что параметром можно передать значение, но нельзя произвольное имя столбца.

База хранит факты, PDO передаёт команды

Каталог магазина хранит товары, цены и остатки. PDO даёт единый PHP-интерфейс, но не превращает SQL разных баз в один диалект. Пагинация, блокировки, типы JSON и возврат вставленного ID различаются между SQLite, MySQL и PostgreSQL. Поэтому называйте СУБД в проекте и тестах. SQLite удобна для самостоятельных примеров, но её успешный тест не доказывает одинаковую конкуренцию на MySQL.

Соединение создают в точке сборки приложения и передают сервисам. Не открывайте новое соединение внутри каждой функции и не используйте административного пользователя базы. У приложения должны быть только необходимые права. DSN и пароль берутся из конфигурации, ошибка подключения пишется в закрытый журнал без секрета. Для MySQL явно задайте charset=utf8mb4, PDO::ERRMODE_EXCEPTION и осознанный режим подготовленных запросов.

Параметр запроса обозначает значение целиком, а не произвольный кусок SQL. Поэтому WHERE id=:id корректно, а ORDER BY :column не выбирает столбец так, как ожидает новичок. Имя таблицы, направление сортировки и список колонок выбираются кодом из разрешённого набора. Подготовить SQL, в который уже вклеен ввод, недостаточно: опасная строка должна находиться именно в параметре.

Подготовка, выполнение и чтение — разные шаги

<?php
declare(strict_types=1);

$db = new PDO('sqlite::memory:', null, null, [PDO::ATTR_ERRMODE=>PDO::ERRMODE_EXCEPTION]);
$db->exec('CREATE TABLE products (id INTEGER PRIMARY KEY, name TEXT, price INTEGER)');
$insert = $db->prepare('INSERT INTO products VALUES (?, ?, ?)');
$insert->execute([1,'Notebook',12000]);
$insert->execute([2,'Pen',150]);
$find = $db->prepare('SELECT name FROM products WHERE name = :name');
foreach (['Pen', "x' OR 1=1 --"] as $name) {
    $find->execute(['name'=>$name]);
    $row = $find->fetch(PDO::FETCH_ASSOC);
    echo $row === false ? "not-found
" : $row['name']."
";
}

Pen
not-found

fetch возвращает одну строку либо false, fetchAll загружает весь оставшийся результат. Для пяти строк это удобно; для миллиона заказов может исчерпать память. Выбирайте только нужные столбцы, ограничивайте результат и используйте ключевую пагинацию для больших экспортов. Цикл fetch экономит PHP-массив, но драйвер может буферизовать результат: режим буферизации и повторное использование соединения нужно изучать отдельно.

Не используйте rowCount для подсчёта SELECT: поведение зависит от драйвера. Для количества нужен SELECT COUNT(*), а для факта наличия — подходящий ограниченный запрос. fetchColumn возвращает false при отсутствии строки, поэтому значение 0 нельзя проверять через if (!$count). Типы чисел из драйвера тоже не стоит угадывать: контракт репозитория может явно преобразовать уже проверенные значения в нужные типы.

Сортировка и LIKE требуют отдельных решений

<?php
declare(strict_types=1);

$db = new PDO('sqlite::memory:');
$db->setAttribute(PDO::ATTR_ERRMODE,PDO::ERRMODE_EXCEPTION);
$db->exec('CREATE TABLE products (id INTEGER PRIMARY KEY, name TEXT, price INTEGER)');
$insert = $db->prepare('INSERT INTO products VALUES (?, ?, ?)');
$insert->execute([1,'50% cotton',200]);
$insert->execute([2,'50 cotton',100]);
$sortInput = 'price';
$sort = ['name'=>'name','price'=>'price'][$sortInput] ?? 'name';
$term = '50%';
$pattern = '%'.strtr($term,['!'=>'!!','%'=>'!%','_'=>'!_']).'%';
$statement = $db->prepare("SELECT name FROM products WHERE name LIKE ? ESCAPE '!' ORDER BY $sort");
$statement->execute([$pattern]);
echo implode(',', $statement->fetchAll(PDO::FETCH_COLUMN))."
";

50% cotton

Для IN нужен отдельный placeholder на каждый элемент. Пустой массив обработайте до SQL: «нет разрешённых ID» обычно означает пустой результат, а не все записи. Список предварительно ограничивают по длине и типам. Для сотен тысяч ID лучше временная таблица или пакетный подход. Никогда не вставляйте implode входных строк в SQL под предлогом того, что они «должны быть числами».

Именованные placeholders не надо окружать кавычками. Не смешивайте ? и :name в одном запросе и не полагайтесь на повтор одного имени при нативной подготовке: используйте разные имена. bindValue фиксирует значение, bindParam связывает переменную по ссылке и читает её позже при execute. Для большинства запросов массив execute проще; для LIMIT и иных чувствительных типов бывает удобнее явный PDO::PARAM_INT.

Главная стоимость часто находится за пределами PHP

Шаблон N+1 возникает, когда сначала читают 100 заказов, а затем для каждого отдельным запросом получают покупателя. Сто циклов PHP могут быть дешёвыми, а сто сетевых обменов — дорогими. Сначала посчитайте запросы и посмотрите планы выполнения, затем решайте, нужны JOIN, пакетная выборка или кеш. Индекс проектируют под реальные фильтры и сортировку; индекс на каждый столбец увеличивает стоимость записи.

Не ловите PDOException, чтобы молча вернуть пустой каталог: пользователь увидит «товаров нет», а мониторинг пропустит недоступную базу. Граница HTTP превращает инфраструктурную ошибку в контролируемый 500/503, а журнал получает идентификатор запроса. Ожидаемый конфликт уникальности, например занятый email, можно преобразовать в доменную ошибку после проверки кода конкретной СУБД. Текст исключения не является стабильным протоколом.

NULL, деньги и поиск больших страниц

SQL NULL обозначает отсутствие значения, поэтому условие column = NULL не работает как обычное равенство: используются IS NULL и IS NOT NULL. На PHP-стороне null, пустая строка и ноль тоже имеют разный смысл. Определите контракт поля при записи, иначе поиск «товары без описания» станет зависеть от того, какая форма когда-то сохранила пустое значение.

Деньги часто хранят целыми минимальными единицами либо точным DECIMAL с согласованным масштабом. Float способен вносить двоичные погрешности, поэтому не превращайте без необходимости decimal-строку базы в float и обратно. Валюта и правило округления относятся к данным операции. Итог заказа вычисляют из серверных цен, а не из суммы, присланной браузером.

Глубокий OFFSET заставляет базу пройти пропущенные строки. Для больших экспортов подходит keyset-пагинация по устойчивому ключу: WHERE id > :last_id ORDER BY id LIMIT :limit. При сортировке по неуникальной дате нужен дополнительный ID, иначе записи с одинаковым временем могут повториться или потеряться. Выбор стратегии зависит от требований к стабильности снимка и конкурентным изменениям.

Практика: проверьте решение, а не только успешный путь

Добавьте фильтр id IN и сортировку по убыванию цены. Что делать с пустым списком и sort=price;DROP TABLE products?