[mysql] czy to zapytanie jest prawidłowe? Opcje

[peter13135]

[SQL] pobierz, plaintext 
$sql = mysql_query("UPDATE pportal_users SET
        user_email='$new_user_email', 
        user_gg='$new_user_gg',  
        user_www='$new_user_www', 
        user_skad='$new_user_skad', 
        user_plec='$new_user_plec', 
        user_dataurodzenia='$new_user_dataurodzenia', 
        user_zainteresowania='$new_user_zainteresowania', 
        WHERE user_login='$login' ");
[SQL] pobierz, plaintext 

[zulus]

htmlspecialchars za manualem:

This function is useful in preventing user-supplied text from containing HTML markup, such as in a message board or guest book application.

Dzięki temu jak wyświetlasz te zmienne w przeglądarce możesz być spokojny o takie ataki jak np XSS.

mysql_real_escape_string dotyczy samej bazy. Jak przepuścisz łańcuch przez tą funkcję to masz pewność że zapytanie się nie wysypie i nic się przez nie nie przedrze (przynajmniej w teorii). W manualu masz też info jak używać przy włącznych magic_quotes (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif)