DAO en php

[sefirotxx]

Hola a todos, llevo ya algún tiempo programando en PHP y me va bien... pero a cada paso que doy mas son los problemas que salen en el camino. En esto me doy cuenta de que mis aplicaciones web son muy inseguras, debido a que para interactuar con la base de datos escribo las sentencias SQL directas en mi aplicación.

He averiguado mucho sobre el tema, primero llegue al tema de los procedimientos almacenados, cosa que no sabia, esta es una herramienta muy potente pero al fin de cuentas encontré una gran limitante, que mis aplicaciones se hacen mas lentas a medida que tengo mas PA. El tema es que solo los debo ocupar cuando una consulta es muy grande, yo los estaba ocupando para todas mis sentencias.

Bueno me di cuenta del error y empece a buscar otras soluciones y llegue al tema del DAO. Es un tema que me tiene un poco complicado y por eso pasaba por acá, me preguntaba si alguno de ustedes tendrá algún manual o algunos ejemplos sencillos para clarificar mas el tema, se los agradecería mucho..

También sirve que me digan que estoy perdido ya que talves no es esa la solución a mi problema

Para no hacer otro tema también me gustaría preguntar lo siguiente: han escuchado sobre "dibujar" con php el codigo html para que un atacante al tratar de ver nuestro código fuente no pueda ver nada??

De verdad apreciaría sus opiniones y orientaciones

[maycolalvarez]

yo te recomiendo PDO, y que estudies sobre SQL Inyection y la forma en que PDO te ayuda a resolverlo, luego puedes saltar hacia los ORM's como Doctrine2, entre otros.

[sefirotxx]

Mira encontre algo de PDO en la web, pero de verdad no creo que sea tan sencillo:

1) Una consulta directa sin retorno de datos (como un insert por ejemplo) la haria de la siguiente forma en mysql despues de haber conectado a la base de datos obvio:

$query = mysql_query( $sql);

2) Y dice que puedo hacerlo asi:

$cnn->exec("INSERT INTO usuario (id, cedula, nombre) VALUES(1, '1037610909', 'Alex');");

2 preguntas sobre esto:

1) Ocultaria esto la sentencia SQL a un atacante, como?
2)que pasa si yo hago en otro archivo todas las sentencias y la incluyo en esta parte, y llamo a una sentencia determinada encerrada en una variable(por ejemplo aca en $sql), eso ayudaria tambien??

[GatorV]

Es una forma de hacerlo (usando exec()), pero realmente lo mejor es usar PreparedStatements:

Código PHP:

$stmt = $cnn->prepare("INSERT INTO foo VALUES (?)");
$stmt->execute(array("bar's"));