[php] kod dodający do bazy, czy dobrze pod względem bezpieczeństwa ? Opcje

[-jorgus-]

Jak pod względem bezpieczeństwa przeorganizować ten kod ? Chyba, że zabieczenia dodane są już wystarczające ?

[PHP] pobierz, plaintext 
<?php
$sql = "SELECT news.*, komentarze.nick as knick, komentarze.nr as knr, komentarze.t
resc as ktresc, 
komentarze.data as kdata from news, komentarze  where news.id = komentarze.newsID AND 
komentarze.newsID=$id ORDER BY kdata ASC";
 
$wynik = @mysql_query ($sql);
while ($news = @mysql_fetch_array ($wynik))
{
 
$knr=stripslashes($news['knr']);
$ktresc=stripslashes($news['ktresc']);
$knick=stripslashes($news['knick']);
$kdata=stripslashes($news['kdata']);
$i++;
 
 
echo '<h4> #' . $i . '</h4><p class="tresc">' . $ktresc . '</p><p class="autor">Napisał: ' . $knick . ' - <i>'
 . $kdata . '</i></p>';
 
 
}
 
 
 print "<H3>Komentarz:</H3>";
//echo "<form method="POST" action="nowy.php">";
 print "<FORM METHOD=POST><INPUT TYPE="hidden" NAME="id" VALUE="$id">";
 print "<B>Autor</B><BR><INPUT TYPE="text" NAME="nick" VALUE="$nick" SIZE=60><BR> ";
 print "<B>Treść:</B><BR><TEXTAREA NAME="srodek" ";
 print "ROWS=10 COLS=60>$srodek</TEXTAREA><BR>";
 print "<INPUT TYPE="submit" VALUE="dodaj"  name="gd">";
 print "</FORM>";
 
 
if ($gd=='dodaj') { 
 
 
$srodek = addslashes(nl2br(htmlentities($srodek))); 
 $nick = addslashes(htmlentities($nick));
 
if ($tresc && $nick && $nick!=admin) {
$zapytanie = "INSERT INTO komentarze (newsID, tresc, nick, "." data) VALUES ('$id', '$srodek', '$nick', "." NOW());";
 $wynik = mysql_query ($zapytanie); 
header("Location: url");
}
?>
[PHP] pobierz, plaintext 

[Athlan]

Referer da sie obejsc, wiec nie jest to dobrym rozwiazaniem.

powiedz jak, jeżeli można... wiesz teraz myślę nad zabezpieczeniami i chce wiedzieć jak byś mógł obejść mój referer ?

pozdrawiam (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)