[PHP] Czy powinienem zabezpieczać $_GET? Opcje

[-Marek_cc-]

Witam

Mam pytanie.

Czy bezpiecznie jest tak bezpośrednio wprowadzać $_GET?

[PHP] pobierz, plaintext 
 
$zapytanie =  $pdo -> query('SELECT * FROM news WHERE id = "'.$_GET['id'].'"');
$row = $zapytanie -> fetch();
[PHP] pobierz, plaintext 

Czy powinienem go wcześniej potraktować htmlspecialchars i strip_tags?

[hwao]

W tym przypadku wystarczy:

[PHP] pobierz, plaintext 
$zapytanie =  $pdo -> query('SELECT * FROM news WHERE id = "'.( (int) $_GET['id'] ).'"');
[PHP] pobierz, plaintext 

Zakładam że Twoje id to liczba całkowita.

Ale jako że używasz PDO zainteresuj się:
http://www.php.net/manual/en/pdostatement.bindparam.php

Szczegóły masz w 1 example

Powód edycji: [hwao]: