[PHP] pobierz, plaintext 
$conn = new PDO("mysql:host=$host;dbname=$db", $user, $pass);
 
$sql = "SELECT user_id, user_name, user_email FROM users WHERE login = :login AND password = :password ;";
 
$q = $conn -> prepare( $sql );
 
$q -> execute(
              array(
                    ':login' => $_POST['login'],
                    ':password' => $_POST['password']
                    )
              );
 
  if( $q -> rowCount() > 0 ){
 
    while( $r = $q -> fetch() ){
    echo 'Witaj ' . $r['user_name'] .'. Twoje id to: ' . $r['user_id'] . ', Twój email to: '. $r['user_email'];
    }
 
  }
  else{
  echo 'Nie znaleziono użytkownika!';
  }
[PHP] pobierz, plaintext 

Aby zabezpieczyć się przed SQL Injection używaj prepared statements
opis...
opis...
opis...

gdzieś na dole, małymi literami:
Jeśli na twoim hostingu nie ma obsługi prepared statements dla twojej bazy danych to
a) zmień hosting
LUB
poczytaj innych sposobach zabezpieczania [link]

[PHP] pobierz, plaintext 
$var = mysql_real_escape_string( htmlspecialchars( addslashes( $var ) ) );
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
// SQL Server
 
$_GET["user_id"] = "1234; DROP TABLE users";
 
$query = "EXEC getUserById " . $_GET["user_id"];
echo $query; // EXEC getUserById 1234;  DROP TABLE users
 
$result = sqlsrv_query( $conn, $query ); // Instrukcje wykonają się poprawnie. Obie.
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
mysql_query( "SELECT * FROM users WHERE id = " . mysql_real_escape_string( $_GET["id"] ) );
// albo
mssql_query( "SELECT * FROM users WHERE username = '" . addslashes( $_GET["name"] ) . "'" );
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$sql = mysql_query(SELECT * FROM news WHERE id=$_GET['id']);
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
date_default_timezone_set('Europe/Warsaw');
if(!empty($_GET))
{
  $db = new mysqli('localhost', 'uzytkownik', 'haslo', 'nazwa_bazy');
  $db -> set_charset('big5'); // kodowanie bazy big5!!
 
  $login = addslashes($_GET['login']);
  $password = addslashes($_GET['password']);
 
  $result = $db->query('SELECT * FROM users WHERE login="'.$login.'" AND password=MD5("'.$password.'")');
 
  if($row = $result->fetch_assoc())
  {
    print_r($row);
  }
}
?>
[PHP] pobierz, plaintext 

[SQL] pobierz, plaintext 
SELECT * FROM users WHERE login="admin?" OR 1=1 --" AND password=MD5("qwerty")
[SQL] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
      if (get_magic_quotes_gpc()) {
        function stripslashes_gpc(&$value)
        {
          $value = stripslashes($value);
        }
        array_walk_recursive($_GET, 'stripslashes_gpc');
        array_walk_recursive($_POST, 'stripslashes_gpc');
        array_walk_recursive($_COOKIE, 'stripslashes_gpc');
        array_walk_recursive($_REQUEST, 'stripslashes_gpc');
      }
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$title= isset($_POST['title']) ? $sql->html($_POST['title']) : '';
 
if(empty($title))
	$form['info'] .= 'Wpisz tytuł podstrony'."\n";
 
//zapytanie dodajace wpis do bazy
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$pdo = new PDO("mysql:host=localhost;dbanme=xxx", "root", "");
$zap = $pdo->prepare("INSERT INTO `uzytkownicy` (`login`, `haslo`, `email`) VALUES(:login, :haslo, :email)");
$zap->bindValue(":login", $_POST['login'], PDO::PARAM_STR);
$zap->bindValue(":haslo", $_POST['haslo'], PDO::PARAM_STR);
$zap->bindValue(":email", $_POST['email'], PDO::PARAM_STR);
$zap->execute();
$zap->closeCursor();
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
$pdo = new PDO("mysql:host=localhost;dbanme=xxx", "root", "");
$zap = $pdo->prepare("INSERT INTO `uzytkownicy` (`login`, `haslo`, `email`) VALUES(:login, :haslo, :email)");
$zap->bindValue(":login", $_POST['login'], PDO::PARAM_STR);
$zap->bindValue(":haslo", $_POST['haslo'], PDO::PARAM_STR);
$zap->bindValue(":email", $_POST['email'], PDO::PARAM_STR);
$zap->execute();
$zap->closeCursor();
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
switch($_GET['cos'])
{ ... }
[PHP] pobierz, plaintext 

Cytat(Cadmer @ 22.01.2013, 17:49:30 )

[PHP] pobierz, plaintext 
<?php
 
// ....
 
$user_id = $_GET['user_id'];
$result = mysql_query('SELECT * FROM users WHERE id = '.mysql_real_escape_string($user_id));
 
// .....
 
?>
[PHP] pobierz, plaintext 

Cytat(Cadmer @ 22.01.2013, 17:49:30 )

[PHP] pobierz, plaintext 
switch($_GET['cos'])
{ ... }
[PHP] pobierz, plaintext