Witam

Mam pytanie.

Czy bezpiecznie jest tak bezpośrednio wprowadzać $_GET?

[PHP] pobierz, plaintext 
 
$zapytanie =  $pdo -> query('SELECT * FROM news WHERE id = "'.$_GET['id'].'"');
$row = $zapytanie -> fetch();
[PHP] pobierz, plaintext 

Czy powinienem go wcześniej potraktować htmlspecialchars i strip_tags?

htmlspecialchars używa się przy wyświetlaniu. Zapoznaj się z mysql-real-escape-string.

W tym przypadku wystarczy:

[PHP] pobierz, plaintext 
$zapytanie =  $pdo -> query('SELECT * FROM news WHERE id = "'.( (int) $_GET['id'] ).'"');
[PHP] pobierz, plaintext 

Zakładam że Twoje id to liczba całkowita.

Ale jako że używasz PDO zainteresuj się:
http://www.php.net/manual/en/pdostatement.bindparam.php

Szczegóły masz w 1 example

Pewnie, mysql_real... przy PDO. Cofamy się w rozwoju?

[PHP] pobierz, plaintext 
$stmt = $pdo->prepare('SELECT * FROM `news` WHERE `id` = :id');
$stmt->bindParam(':id', $id, PDO::PARAM_INT);
$stmt->execute();
[PHP] pobierz, plaintext