Na przkladzie ponizszego kodu. Jak zabezpieczyc :
$id_newsa=$_GET['id'];
Prosze o przyklad.

[PHP] pobierz, plaintext 
echo "<form method='post'>";
 
echo "Twój nick: </br>";
 
echo "<input type='text' name='nick'> </br>";
 
echo "Tresć komentarza: </br>";
 
echo "<textarea name='komentarz' cols='40' rows='15'></textarea> </br>";
 
echo "<input type='submit' value='Dopisz'>";
 
echo "</form>";
echo "</center>";
 
$nick=mysql_real_escape_string($_POST['nick']);
$text=nl2br(mysql_real_escape_string($_POST['komentarz']));
$ip=$_SERVER['REMOTE_ADDR'];
 
 
if(!empty($nick) && !empty($tresc)){
$id_newsa=$_GET['id'];
mysql_query("insert into komentarze (id,nick,tresc,ip,id_newsa) values (0,'$nick','$text','$ip','$id_newsa')");
[PHP] pobierz, plaintext 

Ja nawet nie wiem, czy ten kod ma prawo działać, skoro nigdzie nie zdefiniowales $_GET['id'] chociażby przez isset.

O jakie zabezpieczenie Ci chodzi?

Co tu dużo mówić. Cały ten kod jest do zmiany. Używasz rozszerzenia mysql które jest przestarzałe i zniknęło już z PHP. Zamiast tych escape string poczytaj o bindowaniu parametrów.

-viking
ja to wszystko wiem

-Niree
To nie moj kod, znalazłem wczoraj jakiś post na forum odnośnie zabezpieczeń i w ostatnim poście tego tematu było napisane
"zostało Ci zabezpieczyć jeszcze GET"
czyli:
$id_newsa=$_GET['id'];

Więc pytam jak?

pominimy fakt dzialania kodu, to że jest on przestarzaly itp chodzi tylko o metode

To ci podałem, bindowanie parametrów. Wszystkie zapytania obecnie tak się pisze. A id zazwyczaj rzutuje się na integer.

tylko tobie chodzi o cos w ten desen:

[PHP] pobierz, plaintext 
bindValue(':id', $id, PDO::PARAM_INT )
[PHP] pobierz, plaintext 

a ja chciałbym to zrobić bez wykorzystania obiektowosci / PDO

myślałem raczej o jakimś fitrze na _GET(id) ,kiedyś robilo sie to wyrażeniami regularnymi , teraz prawdopodobnie są na to funkcje, tylko nei wiem jakie?

Przeczytaj jeszcze raz: rzutowanie na integer.

Czyli w tym przykladzie bylo by cos takiego?
$id_newsa= (int) $_GET['id'];

Co w momencie gdy np ktos chce podmienci adres z:

index.php?id=234

na

index.php?id=jurek

jaki bedzie efekt rzutowania jurek na int? zwroci blad?

A ciężko sprawdzić var_dumpem?

W pierwszym poście napisalem
Prosze o przyklad.
Czy nie mógł bym go dostac, prosze tylko o jakis example a nie kod do zawiłego zadania?

var_dump((int) 'jurek');

Z czego wynika ze jurek dalej nie jest intem?

A czym jest 0 według ciebie?
Reszta oczywiście typu 12jurek wynika bezpośrednio z dokumentacji gdzie konwersje są dość dokładnie opisane.

Poprostu przentacyjne jurek to dalej string , tak czy siak dziekuje, już zrozumiałem. Tylko czy to jedyna metoda takiego testu?