[MySQL]Łączenie dwóch tabel Opcje

[JamalBIG]

Witam

Mam problem z połączeniem dwóch tabel których budowa przedstawia się następująco:

-- wpisy
id | user_id | tekst |
-----------------------
1 | 2 | xxxx |
2 | 22 | yyyy |

-- users

user_id | znajomy_user_id |
-----------------------
1 | 22 |
2 | 2 |

Chcę wyświetlić dane z tabeli wpisy gdzie user_id = np 2 oraz dane z tabeli wpisy gdzie user_id = znajomy_user_id (pisząc 'słownie' aby wyświetlone zostały dane z tabeli wpisy określonego użytkownika oraz jego znajomych... Stworzyłem poniższą komendę ale nie wyświetla tego czego chce....

[SQL] pobierz, plaintext 
SELECT wpisy.* FROM users, wpisy WHERE users.user_id=2 AND wpisy.user_id=users.znajomy_user_id
[SQL] pobierz, plaintext 

[modern-web]

mysql_real_escape_string zaslashuje wszystkie znaki ' więc nie będzie można wprowadzić łańcuchów bezpośrednio do zapytania.
Za to można bez przeszkód wstawiać liczby i ciągi nie zawierające '.
np.
Dla zapytania typu:

[SQL] pobierz, plaintext 
SELECT * FROM serwis.uzytkownicy WHERE id=$id
[SQL] pobierz, plaintext 

Można to obejść (przy zabezpieczeniach) takim sposobem:
w polu id:

[SQL] pobierz, plaintext 
0 OR 1=1
[SQL] pobierz, plaintext 

[SQL] pobierz, plaintext 
x LIMIT 0 UNION SELECT 1, 2, ..., n FROM information_schema.TABLES
[SQL] pobierz, plaintext 

Można używać funkcji concat i char do wprowadzania ciągów do rekordów

Przed XSS także nie chroni w 100%, ponieważ np.

[HTML] pobierz, plaintext 
<script>alert(document.cookie)</script>
[HTML] pobierz, plaintext 

Podsumowując: W przypadku PHP jeżeli wiemy, że argument to liczba to stosujemy intval() jeżeli nie to addslashes. Jeżeli mamy coś wyrafinowanego to stosujemy ereg i wyrażenia regularne.
Wniosek: FILTRUJEMY DANE.