[Daniel]

טעות נפוצה שרוב האלה שקוראים לעצמם "מאבטחים" היא כזאת.
אם מופיע "SELECT"(רק דוגמה) ב- POST או ב-COOKIE, אז המשתמש מקבל באן/הדף לא נטען.

אל תעשה את הטעות הזאת!

כי אם המשתמש שולח תגובה עם זה?
או שככה שם המשתמש שלו?

תעשה כל על המידע שאתה מקבל מהמשתמש mysql_real_escape_string ו-htmlspecialchars ותיהיה מסודר.


אל תשתמש ב-striptags-כי זה בעצם מוחק-ואם המשתמש יכתוב "<text>" זה ימחק. במקום זה תשתמש ב- mysql_real_escape_string ו-htmlspecialchars ותיהיה מסודר.