PDO vs MySQLi: Mana yang Harus Anda Gunakan?

Indonesian (Bahasa Indonesia) translation by ⚡ Rova Rindrata (you can also view the original English article)

Saat mengakses database di PHP, kita memiliki dua pilihan: MySQLi dan PDO. Jadi apa yang harus Anda ketahui sebelum memilih salah satunya? Masalah kekhawatiran perbedaan, dukungan database, stabilitas dan kinerja akan dibahas dalam artikel ini.

Ringkasan

	PDO	MySQLi
Dukungan database	12 driver berbeda	Hanya MySQL
API	OOP	OOP + prosedural
Koneksi	Mudah	Mudah
Parameter bernama	Ya	Tidak
Pemetaan objek	Ya	Ya
Prepared statements (sisi client)	Ya	Tidak
Kinerja	Cepat	Cepat
Stored procedures	Ya	Ya

Koneksi

Sangat mudah untuk terhubung ke database dengan keduanya:

// PDO
$pdo = new PDO("mysql:host=localhost;dbname=database", 'username', 'password');

// mysqli, procedural way
$mysqli = mysqli_connect('localhost','username','password','database');

// mysqli, object oriented way
$mysqli = new mysqli('localhost','username','password','database');

Harap dicatat bahwa obyek-obyek koneksi/sumber daya ini akan dianggap selalu ada sampai akhir dari tutorial ini.

Dukungan API

PDO dan MySQLi menawarkan API berorientasi obyek, tapi MySQLi juga menawarkan API prosedural - yang membuatnya lebih mudah dipahami bagi pemula. Jika Anda sudah familiar dengan driver PHP MySQL yang asli, Anda akan menemukan migrasi ke antarmuka MySQLi prosedural jauh lebih mudah. Di sisi lain, setelah Anda menguasai PDO, Anda dapat menggunakannya dengan setiap database yang Anda inginkan!

Dukungan Database

Keuntungan utama dari PDO dari MySQLi adalah dalam dukungannya terhadap driver database. Pada saat penulisan ini, PDO mendukung 12 driver berbeda, berlawanan dengan MySQLi, yang hanya mendukung MySQL.

Untuk mencetak daftar semua driver PDO yang saat ini didukung, gunakan kode berikut:

1	var_dump(PDO::getAvailableDrivers());

Apa artinya ini? Nah, dalam situasi ketika Anda harus mengalihkan proyek Anda menggunakan database lain, PDO membuat proses menjadi transparan. Jadi yang hanya harus Anda lakukan adalah perubahan koneksi string dan beberapa query - jika mereka menggunakan metode yang tidak didukung oleh database baru Anda. Dengan MySQLi, Anda akan perlu untuk menulis ulang setiap potongan kode - termasuk query.

Parameter Bernama

Ini adalah fitur penting lain yang memiliki PDO; mengikat parameter jauh lebih mudah daripada menggunakan pengikatan angka:

$params = array(':username' => 'test', ':email' => $mail, ':last_login' => time() - 3600);
  
$pdo->prepare('
	SELECT * FROM users
	WHERE username = :username
	AND email = :email
	AND last_login > :last_login');
	
$pdo->execute($params);

...berlawanan dengan cara MySQLi:

$query = $mysqli->prepare('
	SELECT * FROM users
	WHERE username = ?
	AND email = ?
	AND last_login > ?');
	
$query->bind_param('sss', 'test', $mail, time() - 3600);
$query->execute();

Pengikatan parameter tanda tanya mungkin tampak lebih pendek, tetapi tidak hampir sefleksibel parameter bernama, karena fakta bahwa pengembang harus selalu melacak urutan parameter; rasanya "hacky" dalam beberapa keadaan.

Sayangnya, MySQLi tidak mendukung parameter bernama.

Pemetaan Objek

PDO dan MySQLi dapat memetakan hasil dalam bentuk obyek. Hal ini sangat berguna jika Anda tidak ingin menggunakan lapisan abstraksi database kustom, tapi masih ingin perilaku seperti-ORM. Mari kita bayangkan bahwa kita memiliki class User dengan beberapa properti, yang cocok dengan nama field dari database.

class User {
	public $id;
	public $first_name;
	public $last_name;
	
	public function info()
	{
		return '#'.$this->id.': '.$this->first_name.' '.$this->last_name;
	}
}

Tanpa pemetaan obyek, kita perlu untuk mengisi setiap nilai field (baik secara manual atau melalui konstruktor) sebelum kita dapat menggunakan metode info() dengan benar.

Hal ini memungkinkan kita untuk menentukan properti dahulu bahkan sebelum obyek dibangun! Misalnya:

$query = "SELECT id, first_name, last_name FROM users";
	
// PDO
$result = $pdo->query($query);
$result->setFetchMode(PDO::FETCH_CLASS, 'User');

while ($user = $result->fetch()) {
	echo $user->info()."\n";
}
// MySQLI, procedural way
if ($result = mysqli_query($mysqli, $query)) {
	while ($user = mysqli_fetch_object($result, 'User')) {
		echo $user->info()."\n";
	}
}
// MySQLi, object oriented way
if ($result = $mysqli->query($query)) {
	while ($user = $result->fetch_object('User')) {
		echo $user->info()."\n";
	}
}

Keamanan

Kedua library menyediakan keamanan injeksi SQL, asalkan pengembang menggunakan mereka dengan cara yang mereka maksudkan (baca: escaping / parameter yang mengikat dengan prepared statements).

Misalnya seorang hacker mencoba untuk menyuntikkan beberapa SQL berbahaya melalui parameter query HTTP 'username' (GET):

1	$_GET['username'] = "'; DELETE FROM users; /*"

Jika kita gagal untuk meng-escape ini, maka akan disertakan dalam pencarian "sebagaimana adanya" - menghapus semua baris dari tabel users (PDO dan mysqli mendukung beberapa query).

// PDO, "manual" escaping
$username = PDO::quote($_GET['username']);

$pdo->query("SELECT * FROM users WHERE username = $username");
		
// mysqli, "manual" escaping
$username = mysqli_real_escape_string($_GET['username']);

$mysqli->query("SELECT * FROM users WHERE username = '$username'");

Seperti yang Anda lihat, PDO::quote() tidak hanya meng-escape string, tetapi juga meng-quote-nya. Di sisi lain, mysqli_real_escape_string() hanya akan meng-escape string, Anda akan perlu untuk menerapkan quote secara manual.

// PDO, prepared statement
$pdo->prepare('SELECT * FROM users WHERE username = :username');
$pdo->execute(array(':username' => $_GET['username']));

// mysqli, prepared statements
$query = $mysqli->prepare('SELECT * FROM users WHERE username = ?');
$query->bind_param('s', $_GET['username']);
$query->execute();

Saya sarankan bahwa Anda selalu menggunakan prepared statements dengan query terikat daripada PDO::quote() dan mysqli_real_escape_string().

Kinerja

Sementara PDO dan MySQLi cukup cepat, MySQLi tanpa signifikan lebih cepat dalam benchmark - ~2.5% untuk non-prepared statements, dan ~6.5% untuk prepared statements. Bagaimanapun juga, ekstensi MySQL asli lebih cepat daripada keduanya. Jadi jika Anda benar-benar perlu untuk memeras kinerja sampai titik terakhir, itu adalah satu hal yang mungkin Anda pertimbangkan.

Ringkasan

Pada akhirnya, PDO memenangkan pertempuran ini dengan mudah. Dengan dukungan untuk dua belas driver database yang berbeda (delapan belas database berbeda!) dan parameter bernama, kita dapat mengabaikan kerugian kecil di kinerja, dan akan terbiasa dengan API-nya. Dari sudut pandang keamanan, keduanya aman asalkan pengembang menggunakan mereka dengan cara yang seharusnya digunakan (baca: prepared statements).

Jadi jika Anda masih bekerja dengan MySQLi, mungkin ini adalah waktu untuk perubahan!