хорошо, а как тогда надо правильно работать чтоб люди всякую дрянь не пихали?у меня уже на поле логин и пароль и так лимит символов 15 стоит. незнаю как еще можна в тех полях защищать, поскажыте?

А кто шумел?

Загоняй сюда все что хочешь. все равно будет тебе персональная страница. А ограничение по длине - это не фильтрация скорее. Фильтрация, это запрет символoв.

Поисковики не очень любят УРЛы с символами отличными от a-z0-9_-, тем более поддомен не сделаешь.

Тоесть twin и tw'in будут одинаковые в строке браузера?

то в чем таки проблема, когда я введу admin как логин и вхожу на страницу и ввожу admin<asdfh> и всеравно меня пускает
я чет подумал что эти скобы как теги идут и потому вместимое <asdfh> пропадает до фильтра еще, а на фильтр попадает просто ник admin, какой и так проходит без проблем по фильтру, потому и пускает, возможно я не прав, подскажыте

Погоди, не бросай меня Объясни пожалуйста, в чем смысл-то?
Вот смотри. Когда регистрируем пользователя, в поле логина он может ввести все что угодно, при условии уникальности этого имени, так? Когда мы выдаем ему персональную страничку, то откуда мы берем уникальное имя, подготовленное для использования в УРЛе?

Это ни разу не гуманно. Пользователь не должен разбираться во внутреннем устройстве вашего скрипта. Ввел "<?php?>" - не приняло, ввел "<?<?php?>?>" - опять не приняло, и конечно же последняя попытка "<?<?<?<?<?php'''''''':::;;()[][]?>?>?>?>" - опять не приняло, далее стараться уже не будет, т.к. посчитает ошибкой в скрипте регистрации! Потеряли пользователя из-за неуникальности второстепенного параметра.
У меня есть подобная же система, и тоже поле уникального ника используется в формировании ссылки, но т.к. ссылка зачастую не видна, то и требования к её красивости абсурдны. Занят "php", ну так замените на "php1" и т.д. У меня добавляется циферка и проверяется наличие до 50 раз (циклы без чёткого условия окончания не приемлю впринципе), увеличивая каждый раз циферку на 1. Если так не получилось подобрать уникальный ник, то алярмим и сообщаем, что произошёл песец, админ уведомлен, скоро свяжутся. Если после очистки ника символов мало или нет совсем, то генерится случайная строка, которая дописывается к очищенной, и с ней совершаются точно такие же действия, как описаны ранее.
Советую взять на вооружение данный метод и отстраняться от оценки системы с точки зрения разработчика (вы знаете как изменить ник, чтобы прошло. а пользователь не знает, но просто видит абсурдные ошибки о неуникальности).

А мне чёт кажется не понял... Еще раз. Как будут выглядеть (и будут ли вообще) такие логины к примеру (взяты с этого форума)
S{oRpiO
<?php
-asan с телефона:-)-
Евгений (Yakuza)
NI(kot)IN
ДядяМиша
G3/SG1
И так далее? Вот посмотри сам, спокойно отображаются, ни кто их не резал страшными регулярками и ничего не запрещал. И ровным счетом ничего страшного не случилось.
Не надо ничего фильтровать
Надо правильно хранить и отображать информацию. Научиться это делать раз и на всегда, можно решив задачу, которую ты, как я понял, не удосужился даже прочитать. Вот в этом я готов тебе помочь.

Спасибо, я подумаю над целесообразностью такого хитросплетения. Вообще это решается гораздо проще - обычним предложением в информере об ошибке:
К сожалению такой логин занят. Попробуйте выбрать другой. Если в Вашем логине имеются служебные символы, попробуйте добавить номер или дополнительную букву.
Вот в таких системах как mail, Яша и прочих монстрах, где подобрать логин уже проблема, люди не стесняются не только объяснять причины, но и предлагать альтернативы. Но ни кто не посягается на целостность логина. Не фильтруют их и не добавляют всякие разности. Я не хочу быть Николай2, это глупо звучит. Я сам хочу решать, как выкрутиться из такой ситуации.
Помочь - одно, а соваться в чужие дела на ультимативной основе - моветон.

Ну это мысль. Спасибо за совет. Похоже так и нужно сделать.

Тогда если я правильно понимаю хранить, это имеется в виду чтобы защитить от SQL-inj когда юзер захочет введи код в поле логин или еще куда при регистрацыи?
То после регистриции скрипт обращается к базе и в том случае и может быть инекция так? то под вашым правильно хранить информацию имеется ввиду

$username = mysql_real_escape_string($username); ?

только вывод я слышал что еше пару функций юзают что то вроде strip_tags?

А вот я не понимаю когда будет возможность с цыфрами? потому что любое поле на сайте это строка, разве что когда передают число в строке браузера типа того? www.mysite.php?number=12

Ниего она не корявит. А просто экранирует символы. Вот чем так гадать, лучше посмотреть в мануале, какая функция что делает. А ещё лучше на практике. Я не зря задачку сочинял.
В базу будет занесено то, то он напишет. И никакой инъекции не будет.

Именно так.

ну я мануал читал по функции, и видел что когда вот такой код

то результат

вот и подумал что она записывает вместе со слешами, зотя теперь понял что \' будет просто символом ' , это же регулярное выражение.

а когда передаю integer значения в строке браузера то чем их принимать? вот тут видел такое
"Если поле в базе числовое, то: (int) (ну или intval()). Можно по модулю взять при использовании в LIMIT, но это не секурити-дырка."
То значить принимать функцыей intval()? или еще по модулю брать тоже?

Принимать функцией интвал и брать по модулю, если используется в лимите. Правда трупрограммеры скажут по-дургому: если получаете неправильное значение, то посылать найух такого посетителя, т.к. это либо ваша система сформировала кривой адрес и пнадо править систему, либо это пользователь развлекается - и нефиг пытаться найти ему хоть что-то. Неправильный запрос=> редирект на заглушку.

А что это такое использовать в лимите?

Не, ничего не получится. Никакого выхода. Просто ошибка. Чепуха получится как раз при модуле.
Вот тут и вопрос. Допустим юзер нагло введет ?page=-5 при постраничке, а система выдаст ему пятую страницу. Не чепуха разве?
Я не знаю что такое трупрограммер, но помоему это очень логично - выдавать только настоящие результаты. Не известно как может повести себя система, если её накормить неверными данными.

Првильно ли будет если если я запрос буду делать по екранированому $username а куки записывать прямо из поля логин тоисть вот так

само собой

Не так. Найди три отличия))

ввожу zzzv1r<> : выдает "Неверный логин/пароль !zzzv1r<>!"
ввожу zzzv1r<asasas>: выдает "Неверный логин/пароль !zzzv1r!"

да не, не проверяю, просто вот возможно это баг что я могу войти под ником admin просто и admin<fefefe> под тот же аккаунт

А ты исходник посмотри. Просто тег не видно. А не пускает оба правильно, потому что работает.

и скрипт обработки поста

А что ты переживаешь то? Это просто url кодирование. Всегда так бывает, когда символы в куках или адресной строке.
А скрипт у тебя на самом деле очень кривой. Почитай ка лучше это.

угу уже нашол функцию для декодирования urldecode

а по поводу ссилки
в чем суть кода?

что это такое ?$_POST['password']:null;?
и почему там все ошыбки в масив заганяютса?