sql injection yememem için

<?php
$kid = htmlspecialchars(strip_tags(mysql_escape_string(intval($_GET['kid']))));
$sor = mysql_query("SELECT id,ad,kid FROM gazete WHERE kid=$id ORDER BY id");
while($yaz=mysql_fetch_array($sor)){
$ad = $yaz["ad"];
$id = $yaz["id"];
echo "<a href='oku.php?id=$id'>$ad</a><br>";
}
?>

Senin yazdığın hali ile SQL Injection yemez çünkü değişkeni dışarıdan almıyorsun direkt yazmışsın 1 diye. GET veya POST ile alıyorsan SQL Injection olur. Eğer GET ile alıyorsan yukarıdaki gibi kullanabilirsin

peki şöyle bir kodu düzenleseniz konuyu tam anlamış olacağım

<?php
$ad = $_REQUEST["ad"];
$aciklama = $_REQUEST["aciklama"];
$kayit = "INSERT INTO ben (ad,aciklama) values('$ad','$aciklama')";
$sql = mysql_query($kayit);
if(! $sql){
echo "Veri eklenemedi";
}else{
echo "Veri eklendi";
}
?>

<?php
$ad = htmlspecialchars(strip_tags(mysql_escape_string($_REQUEST["ad"])));
$aciklama = htmlspecialchars(strip_tags(mysql_escape_string($_REQUEST["aciklama"])));

$kayit = "INSERT INTO ben (ad,aciklama) values('$ad','$aciklama')";
$sql = mysql_query($kayit);
if(! $sql){
echo "Veri eklenemedi";
}else{
echo "Veri eklendi";
}
?>

üstteki karakteride replace etmeyi unutmayın.eğer serverın php sürümü eskiyse çok zarar görebilirsiniz.

hatırladığım kadarıyla php 4 ve üstünde bu karakter zaten server tarafından önüne getirilerek nötr ediliyor..

eğer denemek isterseniz:
küçük bir mail scripti ile deneyebilirsiniz.

eğer mailinize gelen mail:

ise server kendi nötrleyip zararsız hale getiriyor.

eğer

bu şekilde ise scriptlerinizde replace edin yoksa çok zarar görebilirsiniz.

sadece mysql_escape_string yeterlidir abartmayın arkadaşlar.

real escape daha iyidir

ben şimdi kişilerin sitelerini eklemelerini istiyorum

$ad = htmlspecialchars(strip_tags(mysql_escape_string($_REQUEST["ad"])));
$aciklama = htmlspecialchars(strip_tags(mysql_escape_string($_REQUEST["aciklama"])));

bu kodlar yeterli midir?
yoksa başka filtreler kullanmalı mıyım?

katılıyorum inj. yemiyecem diye serverın anasını ağlatmaya hiç gerek yok

addslashes, mysql_escape_string yeterli çoğu fonksiyon iso desteklemiyor, sayfayı UTF-8 olarak yapsan daha iyi olur.