[Jportal] Poprawienie skryptu Opcje

[PhoenixPL]

Wiem, że to nie suport jportalu, ale autor nie kwapi się do poprawy poważnego błędu więc liczę na waszą pomoc (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) Czy potrafi ktoś to poprawić? http://marc.theaimsgroup.com/?l=bugtraq&m=...48957426316&w=2 Studiując wątki na forum stwierdziłem, że tak będzie dobrze. Mając taki kod:

[PHP] pobierz, plaintext 
<?php
if($cat=='all') {
 
$q_ = "AND title LIKE '%$word%'";
 
} else {
 
$q_ = "AND category LIKE '%-$cat-%' AND title LIKE '%$word%'";
 
}
 
 
$query = "SELECT * FROM $file_b_tbl WHERE stat<>5 $q_";
$result = mysql_query($query);
?>
[PHP] pobierz, plaintext 

Zamiana zapytania

$query

na coś takiego

[PHP] pobierz, plaintext 
<?php
$query = 'SELECT * FROM $file_b_tbl WHERE stat<>5 mysql_real_escape($q_)';
?>
[PHP] pobierz, plaintext 

Pomogła by?

[siemakuba]

A czy będzie to bezpieczne ;> W manualu jest napisane że nie dotyczy '@' a tam jest ten znaczek

Ale dzie napisali? No i gdzie ta @ jest? Nie rozumiem...

A czy będzie bezpieczne? Zobacz co robi funkcja mysql_real_escape_string" title="Zobacz w manualu php" target="_manual - dodaje slashe do znaków specjalnych, które mogły by namieszać gdyby były użyte w niewłaściwy sposób. Na tyle cię to zabezpiecza. :)

pozdr.