Форум PHP

Каждую переменную, которая заносится в базу через запрос нужно прогонять через функцию mysql_escape_string().

$str = mysql_escape_string($str);

Контент строки это никак не изменит и не искозит.

Проще то оно проще, а с текстовым URLом выглядит красивее. Пытаюсь ЧПУ делать.

Я лично стараюсь, чтобы передавались только числа. Не всегда получается, но всё же... И проверять их куда проще.

Если я имею внешнюю переменную и знаю что она состоит только из букв и цифер, достаточно ли будет проверки функцией ctype_alnum. Если функцмя возвращыет фалсе запрос к мускулу просто не делается.