Для того, что бы не писало в браузере, достаточно убрать mysql_error(). Но проблему это не решит, потому что раз есть предупреждение, значит есть ошибка. Что касаемо уязвимостей, то это вопрос не такой простой, что бы на него ответить видя только http.

Конструкции exit, die и print_r это служебные прибамбасы и используются только при отладке скриптов. Ни один уважающий себя сайт не оставит юзера один на один с белым экраном и малопонятной надписью на нем. Обработку и выдачу ошибок нужно делать более изящными методами, дабы не распугать хрупкоранимых юзеров таким (прошу прощения) ламерским подходом.

извините)))

экзит можно заменить на экхо (или c помошью Header направить на предыдущею страницу) суть одна и таже

Ну тут не верен сам принцип. Ссылка может содержать что то нехорошее, не только пустоту. Допустим апостроф. Тогда никакого

а если из таблицы БД запросить поля id_cat занести ихскажем в

Опять мимо. Это если сравнить со справочным бюро допустим. Вы спрашиваете адрес Васи Дормидонтовича Пупкина к примеру. Зная его порядковый номер. Девушка оператор (скрипт в нашем случае) каждый раз должна открывать книгу записей (БД), аккуратненько выписывать все порядковые номара на отдельную бумажку (оперативную память), а потом искать по этой бумажке тот, который ты запросил. И если его там нет, отправлять в соседнюю комнату, где висит плакат - НЕТ ВАСИ ПУПКИНА!!!
Вообще компьютер придумали люди и в программах, которые для него пишутся, очень много взято из жизни. По этому можно большую часть логики сравнивать с житейскими ситуациями. Но так как это виртуальный мир, то можно добавить немного волшебства. И делать так, как в жизни сделать невозможно, но очень хотелось бы.