[PHP] pobierz, plaintext 
if(isset($_GET['ref']))
{
	if(intval($_GET['ref']) !==0)
	{
		$ip = $_SERVER['REMOTE_ADDR'];
	db_connect();
 
$selip = mysql_query("SELECT ip1, ip2, ip3 FROM users WHERE ref = '$_GET[ref]'");
$fetched = mysql_fetch_array($selip);
if($fetched["ip1"] = 0){
 
	$query1 = mysql_query("UPDATE users SET zdolnosc=zdolnosc+1 WHERE ref = '$_GET[ref]'"); 
	$query2 = mysql_query("INSERT INTO users (ip1) VALUES ($ip) WHERE ref = '$_GET[ref]'");
}
elseif($fetched["ip2"] = 0 && $fetched["ip1"] != $ip)
{
	$query1 = mysql_query("UPDATE users SET zdolnosc=zdolnosc+1 WHERE ref = '$_GET[ref]'"); 
	$query2 = mysql_query("INSERT INTO users (ip2) VALUES ($ip) WHERE ref = '$_GET[ref]'");
	}
elseif($fetched["ip3"] = 0 && $fetched["ip2"] != $ip && $fetched["ip1"] != $ip)
{
	$query1 = mysql_query("UPDATE users SET zdolnosc=zdolnosc+1 WHERE ref = '$_GET[ref]'"); 
	$query2 = mysql_query("INSERT INTO users (ip3) VALUES ($ip) WHERE ref = '$_GET[ref]'");
	}
	}
	}
[PHP] pobierz, plaintext 

Napisaem taki kod. Nie mam jak go sprawdzić ponieważ działam na localhost. $_GET["ref"] to tylko cyfry Moje pytania:
Czy kod jest bezpieczny?
Czy ip zosatnie zapisane w bazie danych?
Ip zapisywać varchar'em czy int'em, a może czymś innym?
Czy kod jest poprawnie napisany?

W kodzie chodzi mi o to by inkrementować pole zdolność, kiedy wszystkie warunki zostaną spełnione, czyli ludzie o 3 innych adresach ip wejdą w podany link.
Domyślna wartość pól ip1, ip2, ip3 w bazie wynosi 0.

Z góry dzięki

To, że działasz na lokalnym komputerze nie wyklucza możliwości przetestowania. Zamiast $_SERVER['REMOTE_ADDR'] możesz ręcznie wpisać w kodzie adres IP uruchomić skrypt, później zmienić i znów uruchomić, albo podawać IP jako parametr w URL i później używać np. $_GET['ref'].

[PHP] pobierz, plaintext 
 if ($fetched["ip1"] = 0) {
//...
}
[PHP] pobierz, plaintext 

Wartości porównuje się przez ==, = to przypisane.

Sprawdź co się stanie jeśli poda się nieistniejący kod i zapytanie:

[SQL] pobierz, plaintext 
SELECT ip1, ip2, ip3 FROM users WHERE ref = 
[SQL] pobierz, plaintext 

nie zwróci żadnych wierszy.

[PHP] pobierz, plaintext 
$selip = mysql_query("SELECT ip1, ip2, ip3 FROM users WHERE ref = '$_GET[ref]'");
[PHP] pobierz, plaintext 

Skoro $_GET['ref'] jest liczbą a nie ciągiem znaków, to nie ujmuje się jej w apostrofy lub cudzysłów.

[PHP] pobierz, plaintext 
$_GET[ref]
[PHP] pobierz, plaintext 

jest niepoprawne.

Sprawdź składnię polecenia INSERT. Wyrzuć INSERT i zapisywanie IP wrzuć do UPDATE.

Skoro IP jest liczbą to lepiej ją przechowywać jako liczbę - ip2long() - nie jako ciąg znaków. Ewentualne wyszukiwanie w bazie po liczbie jest szybsze niż po ciągu znaków. Jeśli koniecznie ma być jako ciąg znaków to użyj pola CHAR a nie VARCHAR.

IP w bazie danych: klik