Richiesta Filtrare PHP e MySQL per evitare injection

[FulmineVerde]

Salve a tutti utenti di sciax2, volevo chiedere, dato che sono alle prime armi con il php e il mysql, per evitare le injection devo filtrare tutti gli $_POST, $_GET con mysql_real_escape_string, volevo chiedervi se queste parti vanno filtrate:
<?php if(!isset($_GET['edit']) && !isset($_GET['add']) && !isset($_GET['delete'])){ ?>

}elseif(isset($_GET['edit'])){
$id = isset($_GET['edit']) ? $_GET['edit'] : '';

}elseif(isset($_GET['delete'])){
if($rank >= '9'){
$id = mysql_real_escape_string($_GET['delete']);

Attendo rispote. Grazie in anticipo

 

[chack1172]

Devi filtrare solo i dati che utilizzi nell'sql

 

[FulmineVerde]

Quindi quei valori non vanno filtrati giusto?
Va filtrato solo
mysql_real_escape_string(htmlspecialchars($_POST['username'])); etc?

--- Aggiornato ---

Per esempio, un login messo così:

Perfavore, Entra oppure Registrati per vedere i codici!

è vulnerabile?

 

[TBH]

Quindi quei valori non vanno filtrati giusto?
Va filtrato solo
mysql_real_escape_string(htmlspecialchars($_POST['username'])); etc?

solo quelle che userai per istruzioni sql.

Perfavore, Entra oppure Registrati per vedere i codici!

è vulnerabile?

Il concetto di vulnerabile dipende anche dal db , dalla connessione con quest'ultimo e dal protocollo di rete utilizzato, quindi se ti riferisci solo alle inejction la risposta è no.

 

[FulmineVerde]

solo quelle che userai per istruzioni sql.

Quindi quei valori non vanno filtrati?

 

[TBH]

Quindi quei valori non vanno filtrati?

si che vanno filtrati ovvio, perchè faresti una query di questo tipo :

Perfavore, Entra oppure Registrati per vedere i codici!

 

[NullEx0]

ti consiglio di cambiare libreria e di utilizzare il PDO che con il suo prepare "pulisce" in automatico i parametri, inoltre la libreria mysql è deprecata nel php(per questioni riguardanti, appunto, la sicurezza). O usi PDO o mysql.

 

[SnowierBobcat00]

ti consiglio di utilizzare PDO e AntiXSS - Library di voku

 

[Kaost]

Con MySQL non puoi filtrare le query in modo completo, ti consiglio PDO per fare un check che non esegue subito le query ma le prepara (filtra)