Вы демонстрируете частный случай, когда заведомо известно что поле именно целое. Для остальных типов полей уже без mysql_real_escape_string не обойтись.

Вообще, используя различного рода фреймворки или просто полезные классы для работы с БД, программист вообще не пишет запросов. Он оперирует методами типа

$users->findById($value);

и ему совершенно уже не важно что пришло в $value. Используемый инструмент уже сам все как нужно экранирует.

Но по сути темы - вы поняли почему обойти mysql_real_escape_string я считаю невозможно на данный момент?

Действительно говорим о разных вещах. Функция mysql_real_escape_string экранирует символы в строке, чтобы ее можно было использовать в выражении mysql. Функция делает ровно то, что должна.

Однако составляю выражение mysql мы же должны следовать четким правилам. Например указать четкие границы значения параметра запроса. Для этого используются кавычки.

Но обойти функцию mysql_real_escape_string, чтобы как раз выйти за эти кавычки и изменить mysql выражение - нельзя.

Ну нельзя так нельзя...

Любая дыра в безопасности целиком и полностью на ответственности программиста. Здесь два выхода, либо:

... WHERE `id`=" . (int)$id;

либо

... WHERE `id`= '" . mysql_real_escape_string($d) . "'";

в последнем случае хакеру придётся использовать кавычку, которая будет успешно экранирована mysql_real_escape_string() и попытка инъекции не пройдёт. Кривой программер оставит дыру даже там, где нормальному покажется 100% защита.

фигасе тему откопал

waldicom
Да блин появилась в списке новых сообщений, а оказалось, что это некий спамер запостился.

Я бы сделал так:

<?php

if(!is_numeric($_GET['id']))
return;

$query = 'SELECT * FROM `tbl` WHERE `id` = ' .$_GET['id'];

?>

* - плохо

Можно так же делать проверку числа, могут ввести 10000000000500000000 но это ничего не даст.

I++
А чем тебе (int) не нравится? Нормально работает.