sql injection ve performans hakkında?

Merhaba Arkadaşlar,

2 sorum olacak sizlere:

1)

show/aranankelime

bu url den gelen aranankelime verisini bu şekil sql sorgusundan geçirerek arama işlemini yapıyorum.

$kelimeler = explode(" ", $id);
				$s_array = array();
				foreach ($kelimeler as $key => $value)
				{
				$s_array[] = "(`title` LIKE '%$value%')";
				}
				$where_str = implode(" or ", $s_array);
				$sql	=	$this->query_cache("select id,thumb,source,views,liked,title,description,duration from videos where $where_str ORDER BY id LIMIT 20",3600);
			
				return $sql;

memcache ile 3600 saniye cacheliyorum şimdilik bir sorun yok gibi Show Mysql Process da time değeri en fazla 4 olarak görüyorum. daha performanslı çekebilme yöntemi varmı acaba ?

2. sorum ise gelen bu veriyi sql injection yememek için ne yapmamız gerekli. (url : show/"asd" olarak geldiğinde sorguya sadece asd olarak girmeli)

guvenlik.php

<?PHP

//fonksiyon baslar


function guvenlik( $text )
{
   $text = str_replace( '#', '', $text );
   $text = str_replace( '&', '', $text ); 
   $text = str_replace( ';', '', $text );

   $text = str_replace( ' ', '', $text );
   $text = str_replace( '!', '', $text );
   $text = str_replace( '"', '', $text );   
   $text = str_replace( '$', '', $text );
   $text = str_replace( '%', '', $text );  
   $text = str_replace(  "'", '', $text );
   $text = str_replace( '(', '', $text );
   $text = str_replace( ')', '', $text );
   $text = str_replace( '*', '', $text );   
   $text = str_replace( '+', '', $text ); 
   $text = str_replace( ',', '', $text );
   $text = str_replace( '-', '', $text );
   $text = str_replace( '.', '', $text );   
   $text = str_replace( '/', '', $text );
   $text = str_replace( ':', '', $text );   
   $text = str_replace( '<', '', $text );
   $text = str_replace( '=', '', $text );
   $text = str_replace( '>', '', $text );   
   $text = str_replace( '?', '', $text );
   $text = str_replace( '[', '', $text );
   $text = str_replace( '\\', '', $text );
   $text = str_replace( ']', '', $text );
   $text = str_replace( '^', '', $text );   
   $text = str_replace( '_', '', $text );
   $text = str_replace( '`', '', $text );
   $text = str_replace( '{', '', $text );
   $text = str_replace( '|', '', $text );   
   $text = str_replace( '}', '', $text );
   $text = str_replace( '~', '', $text );

   return $text;

}

//fonksiyon biter








?>

dosyasını include edip kullanmanız yeterli olacaktır.

Tesekkur ederim hocam bu fonksiyon isimi gordu. Diger sorunum hakkinda bilginiz varmi acaba sql loadi tavan yapiyor bu sekilde.

Samsung Galaxy S3 cihazi tapatalk 2 ile gonderildi.

Show Mysql Process olayını ilk defa duyuyorum daha önce hiç kullanmadım.

5 milyon video veritabanım var diyordun sanırım geçen gün dostum sen.
o kadar veriyi like ile search yapamazsın. Yaparsan mysql ağlar.
fulltext search olayını araştır. Forumda konuları var.

Özetlersek olayı:
önce phpmyadmin'den fulltext olarak tablo yapısını degiştir. Fulltext yapmazsan aşağıdaki kod boş döner. Tabii tablo yapının myisam ve hücrelerin varchar yada text olması gerekliyor.

ALTER TABLE videolar ADD FULLTEXT(description, title);

$aranan=mysql_real_escape_string($_GET['kelime']);
$sorgu = mysql_query('SELECT * FROM videolar 
WHERE MATCH(title, description) AGAINST("'.$aranan.'")');

while($row = mysql_fetch_array($sorgu))
{
   echo $row[title] . '<br>';
}

evet dogrudur diyen bendim ve yanlış bilgi vermedim size

önerilerinizi uygulamadım ve şuan harika sorun yok. çok teşekkür ederim.

mesajım bulunsun.