[PHP]&[MySQL] - Zapytanie z $_GET, Kwestia bezpieczeństwa Opcje

[-Wieviór-]

Powiedzmy, że mam stronę www.strona.pl/pokazuzytkownika.php?id=7645

Jego dane wyczytuję z bazy poprzez zapytanie z WHERE id = $_GET[id]. Wszystko ładnie, tylko pozostaje kwestia bezpieczeństwa, bo przecież w tego $_GET'a sporo można sobie wpisać, UNION jakiś czy coś.

Czytałem na stronie głównej artykuł o tym i powoli usuwam luki z zabezpieczeniach:

[PHP] pobierz, plaintext 
<?php
$striped = strip_tags ($_POST[id]);
$gotowy = mysql_real_escape_string ($striped);
$sql = "SELECT * FROM uzytkownicy WHERE id = '".$gotowy."'";
?>
[PHP] pobierz, plaintext 

Czy to wystarczy, i czy w ogóle dobrze robię?

Ten post edytował Wieviór 23.09.2007, 12:13:30

[batman]

Jeśli pobierasz dane od użytkownika, które przesyłasz do bazy danych trzeba:
1. strip_tags.
2. Czasem dla pewności można użyć htmlentities.
3. Użyć funkcji escape_string.

Dobrym zwyczajem jest ograniczyć długość ciągu, jaki jest podawany przez użytkownika. Najpierw w JS sprawdzić długość, następnie po stronie serwera.