Лол

Helltar, твой код ни универсальнее (почему именно модуль числа -- хз), ни быстрее (приведение в стиле С работает быстрее вызова двух функций), ни читабельнее. Вот и лол.

prayncode, и все равно со стороны php код Helltar'а правильней, хотя и работает медленнее (в одну итерацию различие абсолютно несущественно).

Ну, да, в таких местах сравнивать производительность не совсем обязательно. У Ксакепа там ещё много вкуснятины для мух.

prayncode, ок, пусть тогда $id — не будет являться числом (семантически), уберём is_numeric. Просто stripslashes + mysql_real_escape_string. В общем, не обходится.

Ксакеп, ну так заранее нужно думать, будет у тебя число или нет. Если число, то сразу пропускать через abs(intval()) и все, можно выводить, совать в запросы и не боятся, никакой уязвимости не будет априори.

А вот со строками сложней. Их перед выводом (или можно при получении сразу, как тебе нужно) нужно пропускать через htmlentities($string, ENT_QUOTES, 'UTF-8') , она обрабатывает все символы у которых есть html представления, то бишь уже можно написать
echo $string; и это уязвимостью не будет.

Если строку нужно засунуть в запрос то юзать mysql_real_escape_string() нужно непосредственно перед вставкой переменной в запрос, то есть так:
Потому как эта функция насует в переменную слэшей и испортит изначальные данные, а ведь потом переменная может быть нужна для вывода и тд.

В общем если ты написал тот код, то позор тебе.

web_demon, это один из самых полезных постов в этой теме! Коатко и доходчиво! Может тоже создать тему "микростатьи и хитрости PHP?

aNNiMON, та ну, может разрожусь постом в статьи, хитростей то раз два и обчелся.

web_demon (13.06.2014/21:36)
Ксакеп, ну так заранее нужно думать, будет у тебя число или нет. Если число, то сразу пропускать через abs(intval()) и все, можно выводить, совать в запросы и не боятся, никакой уязвимости не будет апweb_demon прекратить
использование Mysql, вместо
этого вы используете Mysqli
класс e.g

или

где
$dbhost = база данных
  хоста $dbusername = база
  данных имя пользователя
$
dbpassword = ваш пароль базы
  данных
$dbname = имя
  вашей базы данных

skyezeno, Да, mysqli быстрее и дают больше возможностей, и поэтому я их и использую
Но вот именно в твоем случае ничего не меняется по сравнению с mysql. Все равно нужно следить за тем, чтоб фильтровать переменные перед запросом.

Не фильтровать можно только в случае использования подготовленных запросов, например так (пример из гугла):

PS: for code highlight use [code][/code] or [code php][/code], not [php][/php].
And write in English please. We don't understand translated russian by google.