какие виды url могут быть?
GET параметры - допустимы в url? или тока домен + страница?

Sergen
Для запросов в БД достаточно mysql_real_escape_string.

Тут обязательно нужно проверять по регулярному выражению. Как минимум, есть функция специальные, filter_var()

Если пройдет проверку, можно не делать mysql_real_escape_string(), так как мы знаем, что у нас в строке нет "опасных" символов.

alex12060
Зачем? Зачем нужны все эти попытки проверок, регулярок, когда в нашем случае идёт лишь сравнение строки1 с значением в БД. Для сравнения достаточно лишь чтобы при запросе не была SQL-INJ, а против неё есть mysql_real_escape_string, и всё

filter_var - гонит.

 $url = "hehe2http://site.ru/index.php?act=contacts";
 
 if(filter_var($url, FILTER_VALIDATE_URL))
 {
    echo str_replace("http://", "", $url);
 }    
 else
    echo "This url is not valid!";

Как я понял, регулярка лишней не будет, правда до их изучения я дойду в аккурат к Новому Году)))
Все будут водку пьянствовать а я регулярки штудировать!

to Игорь, проверка по человекопонятному урлу, без домена и без http (относительная ссылка)
Я к вечеру решил что лучше вот так, (не только для этого случая, а для проверки строковых вообще. А в INSERT для кучи значения прогоняю, через mysql_real_escape_string() )

function sss($var)
{
    if (get_magic_quotes_gpc()) {$var = stripslashes($var);}	
    $var =  htmlspecialchars($var);
	$var = strip_tags($var);
	return $var;
}

Потестировал, вроде все отсекается, только вот терзают смутные сомнения...

Sergen
Лишней не будет?

$a = 1;
if($a != 1)
    $a = 1;
$a = (isset($a) ? $a : 1);
$a = (int)$a;
$a = htmlspecialchars($a);
$a = str_replace('+','',$a);
$a = mysql_real_escape_string($a);

и вот теперь давай ещё и регулярку добавим :) Всё равно лишней не будет.
А вот то, что я ответил тебе, а потом объяснял Игорю - это то, что регулярка лишняя в данном случае.

да. я в суть вопроса не вник как следует, если нужно сравнивание с БД - то зачем услилия тратить на проверку - url ли туда уходит - если ты будешь сравнивать с урл? достаточно просто mysql_real_escape_string() роверить (обезопасить) и всё - а урл там или чёрт лысый - это дело десятое.

Я понял. Спасибо за ответ.
В моем случае выручает то, что url проверяется по базе. А если бы не было такого?
Насколько мой код (sss) действенен? Имею виду для строк.

Кстати, заметил, что здесь на форуме большинство людей "любят" больше htmlspecialchars нежели htmlentities. Я разницы особой не уловил, кроме как небольших проблем с кодировкой у второго. И еще, зачем ставят на выводе htmlspecialchars? Неужели связано с html версткой?

Sergen
Связано с XSS уязвимостью, поэтому и ставить надо.