Если в $_GET['parent'] содержится число, что можно так:

$parent = (int) $_GET['parent'];

В переменную $parent можно запихнуть что угодно. Например можно выполнить SQL запрос. А что именно в переменной $parent должно быть?

parrent у меня в бд, это выборка статей по присвоенному родительскому номеру , к примеру первый раздел статей "Техника", в бд parrent = 10000, далее идут подразделы, которые выводятся по id

тогда как waldicom написал

waldicom
переменной парент присваивается значение парент из массива GET, я правильно читаю?)
не могли бы Вы пояснить, что такое инт?

BNik, int целочисленное значение (1 2 20 25), тоисть без плавающей точки. Основы программирование - Типы данных.

koala
спасибо

BNik
(int) приводит значение к целочисленному типу - это гарантирует, что в запрос к БД тебе не попадут строки, что убережет от SQL-инъекции. Например, если тебе введут вместо числа id какой-нибудь мерзопакосный запрос - int превратит этот запрос в число 0

koala
посты <10)))
Invis1ble
И Вам спасибо)

Это
$parent = (int) $_GET['parent'];
не проверка, а изменение типа и, возможно, значения.
И значит скрипт может получить не то, что передано и не то, что ожидается,
т. е число, которое ни к селу ни к городу.

Vall, представь ты изменяешь числу 2 тип на int. Что получится? ))

Если 2 было вещественным или строкой то станет целым,
если было целым, то и останется целым.
Но суть темы не в этом.

Вообще-то, всё, что передаётся из формы - это текст, не числа.
Предположим, мне нужна статья под номером 25, в адресной строке браузера набираю site.ru/part=25, но по ошибке вставил точку (part=2.5).
И получу статью номер 2 (или 3, в зависимости от преобразования).
Спрашивается зачем показывать не нужное, гонять скрипт, трафик и сервер баз?
Не проще остановить скрипт и впечатать "Извини, дорогой"?
Или все таки надо заставить посмотреть не нужную мне статью под номером 2 ?

Проверяй функцией is_int. Если не пройдет, то пиши "Извини, дорогой!".

Vall
Имхо, айдишники должны быть включены в ссылки (причем без ошибок =)), а если ты такой (я не про тебя) умный и набираешь через адресную строку, то это твои проблемы, если ты ошибешься

Invis1ble
Тогда нужно выводить 404 или дефолтную страницу. Это если вручную УРЛ вводить.

а как тогда проверить POST если переменная не число?

   $text=$_POST['name'];  

BNik, от XSS htmlspecialchars()

is_string. А вобще вот почитай.

koala
Дык он ,вроде, не защититься хочет, а проверить.

kovaldm
в том то и дело что мне надо защититься

При чем тут мои ошибки, руками не руками, хакеры не хакеры?

Я привел первый попавшийся пример.

Надо проверять входные данные, и если они соответствую, то пропускать.
Если не соответствуют, то НЕ МЕНЯТЬ их на никому не нужное, а предусмотреть логику работы скрипта на этот случай.

Вот с этим я полностью согласен

Vall
Не кипятись, я не конкретно про тебя говорил ))
а вообще

Vall в общем:

1. Если ты знаешь, что переменная содержит число то:

(int) либо intval()

2. Если в переменной текст то:

mysql_real_escape_string() и stripslashes()

Читай информацию о функциях

Если подставлять дефолтное значение, то можно так

$result = mysql_query("select * from turccke where parent=".(is_numeric($_GET['parent']) ? $_GET['parent'] : 0)." order by tur_id");

welbox2, спасибо за советы. Правда не понятно почему мне, если помощь просил BNik.

Выше я утверждал, что полученное из формы надо именно проверять, тем более, что в теме прозвучал вопрос "не знаю как проверить GET", а не изменять, как предлагалось некоторыми оппонетами.
А что вы предлагаете? Менять или проверять? Из ваших советов не понятно.

Да, и маленькое несогласие.
Что приходит от клиента заранее никогда невозможно знать.
В информации о функции mysql_real_escape_string() я прочитал, что её надо использовать при передаче значений в базу, а не при получении GET-значений. А про функцию stripslashes написано, что её надо использовать после применения addslashes() или магических кавычек.
И получается, как бы, к проверке входных данных эти функции отношения не имеют.

Надеюсь, что наш обмен мнениями будет полезен для BNik.

Vall ссори

Я дал советы, на вот это:

Vall
Это не поиск, и по логике скрипта, это не вводит пользователь! Как говорили эксперты, пришедшие люди порой сами не знают, что хотят, поэтому надо догадываться или помогать теми силами, которые знаешь.
Если полностью перефразировать ТС, то звучит: "Вот код, что тут не так:", а тут не так только одно, не хватает (int), как было сказано ранее, и не стоит забивать голову всяким бредом.

Совсем не дурно тема безопасности рассмотрена в нужной теме: http://phpforum.ru/index.php?showtopic=21213

ТС, тебе туда =)

Если что-то конкретное будет не понятно, тогда уже спрашивай.

А можно проверять (чтобы не было sql-инъекций) таким образом.

// Функция экранирования переменных
function quote_smart($value)
{
    // если magic_quotes_gpc включена - используем stripslashes
    if (get_magic_quotes_gpc()) {
        $value = stripslashes($value);
    }
    // Если переменная - число, то экранировать её не нужно
    // если нет - то окружем её кавычками, и экранируем
    if (!is_numeric($value)) {
        $value = "'" . mysql_real_escape_string($value) . "'";
    }
    return $value;
}

// Использовать вот так
$query = sprintf("SELECT * FROM users WHERE user=%s AND password=%s",
            quote_smart($_POST['username']),
            quote_smart($_POST['password']));

А зачем я буду передавать массив? Как массив вставить в sql-запрос?

чтобы тему новую не создавать, спрошу здесь.
такая вот проверка норм будет хоть более менее?

function check($value)
{
    if (!is_numeric($value)) {
	    $value=strip_tags($value);
    	if (!get_magic_quotes_gpc()) {
        	$value = addslashes($value);
    	}
		$value=mysql_real_escape_string($value);
		$value=htmlspecialchars($value);
		$value=trim($value);
		$value=encode_html($value);
    }
    return $value;
}
function encode_html($str,$type='code'){
	if($type=='code'){return htmlspecialchars($str,ENT_QUOTES);}
	if($type=='encode'){
	$trans=get_html_translation_table(HTML_ENTITIES,ENT_QUOTES);
	$trans=array_flip($trans);
	return strtr($str, $trans);
	}
}

о второй ф-ции имею смутное представление, писал не я.

знающие люди, отпишитесь, пожалуйста

А для чего это функции? Конечно я понимаю, чтобы обезопасить себя?
Меня тут пугает

		$value=htmlspecialchars($value);
	...
	$value=encode_html($value);
	//в функции encode_html еще раз вызывается
	return htmlspecialchars($str,ENT_QUOTES);

hellmin
да, мне это тоже не очень понравилось, как увидел, но просто это писал более менее опытный человек, а я еще новичок и мало ли..
то есть вообще эта ф-ция encode какбы лишняя, можно сказать?(даже если опустить то, что htmlspecialchars вызывается два раза)