Se connecter à une base avec PDO

Une application web stocke presque toujours ses données dans une base : comptes, produits, commandes… En PHP, la façon moderne et standard d’y accéder est PDO (PHP Data Objects). PDO offre la même API quel que soit le système de gestion de base de données (SGBD) : MySQL/MariaDB, PostgreSQL, SQLite, SQL Server… Chaque SGBD est géré par un pilote (pdo_mysql, pdo_pgsql, pdo_sqlite). Vous pouvez vérifier ceux qui sont installés avec php -m.

Le DSN : l’adresse de la base

On crée une connexion en instanciant la classe PDO avec un DSN (Data Source Name), puis éventuellement un utilisateur, un mot de passe et des options.

// SQLite en mémoire : idéal pour apprendre et pour les tests
$pdo = new PDO('sqlite::memory:');

// SQLite dans un fichier
$pdo = new PDO('sqlite:' . __DIR__ . '/app.sqlite');

// MySQL / MariaDB : toujours préciser charset=utf8mb4
$pdo = new PDO('mysql:host=127.0.0.1;port=3306;dbname=boutique;charset=utf8mb4', 'app', 'secret');

// PostgreSQL
$pdo = new PDO('pgsql:host=127.0.0.1;port=5432;dbname=boutique', 'app', 'secret');

Les options indispensables

$options = [
    PDO::ATTR_ERRMODE            => PDO::ERRMODE_EXCEPTION, // une erreur SQL lève une exception
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,       // lignes sous forme de tableaux associatifs
    PDO::ATTR_EMULATE_PREPARES   => false,                  // vraies requêtes préparées (MySQL)
];
$pdo = new PDO($dsn, $user, $password, $options);

Depuis PHP 8.0, le mode d’erreur par défaut est déjà ERRMODE_EXCEPTION, mais l’écrire explicitement rend le code lisible et robuste. Sans exception, une requête fautive renverrait simplement false, et l’erreur passerait inaperçue.

Gérer l’échec de connexion

try {
    $pdo = new PDO($dsn, getenv('DB_USER'), getenv('DB_PASSWORD'), $options);
} catch (PDOException $e) {
    error_log($e->getMessage());          // on journalise le détail
    http_response_code(500);
    exit('Service momentanément indisponible.'); // message neutre pour l'utilisateur
}

Le message d’une PDOException peut révéler le nom de l’hôte ou de la base : on le journalise, on ne l’affiche pas. De même, le mot de passe ne doit jamais apparaître dans le code versionné : lisez-le depuis une variable d’environnement (getenv(), $_ENV) ou un fichier .env ignoré par Git.

Exécuter une première instruction

Pour une instruction sans paramètre et sans résultat (création de table, par exemple), exec() suffit. Elle renvoie le nombre de lignes affectées.

$pdo->exec('CREATE TABLE produits (
    id INTEGER PRIMARY KEY AUTOINCREMENT,
    nom TEXT NOT NULL,
    prix REAL NOT NULL
)');

Bon à savoir : depuis PHP 8.4, PDO::connect($dsn, ...) renvoie une sous-classe propre au pilote (Pdo\Sqlite, Pdo\Mysql…). new PDO(...) reste valable et c’est ce que vous rencontrerez le plus souvent. PHP 8.5 déprécie en revanche les constantes propres à un pilote déclarées sur PDO (par exemple PDO::SQLITE_ATTR_OPEN_FLAGS) : utilisez celles de la sous-classe (Pdo\Sqlite::ATTR_OPEN_FLAGS, Pdo\Mysql::ATTR_...).

En résumé : un DSN correct, des options explicites, des identifiants hors du code et une gestion d’erreur discrète. C’est la base de tout le reste du cours.