Инъекции SQL

[$continue$]

Или использовать mysql_format?

[ziggi]

Или использовать mysql_format?

Можно и обычный format использовать, с использованием %q вместо %s,

[$continue$]

Так спицификатор %q добавили для SQLite. Предпочтительней использовать вместо %s - %e (mysql_format)

Можно и обычный format использовать, с использованием %q вместо %s,

[ziggi]

Так спицификатор %q добавили для SQLite. Предпочтительней использовать вместо %s - %e (mysql_format)

Добавили для SQLite, но никто не запрещает его использовать и для MySQL, разницы в работе между %q и %e нет (по крайней мере не должно быть).

[Prolific]

Принцип SQL инъекции в двух строчках:

1 тип: "Хочу получить 'имя' игрока"
2 тип: "Хочу получить 'имя', 'пароль' игрока"

Красный цвет - то, что мы вставляем. Способы защиты представлены выше.