$table = $GET['table']; // Или так, но если table не меняется

SQL инъекция в данном случае на втором плане.
Налицо ошибка в логике приложения, если имя таблицы передаётся в параметрах.
Занавес.

_____________
Стимулятор ~yoomoney - 41001303250491

$tabl_original = array("foo", "bar", "hello", "world"); //  Таблицы, которые реально существуют

if(in_array($table, $tabl_original)){
	$query = "SELECT * FROM ".$table;
} else {
	$query = FALSE;  
}

Выдает ошибку

function catalog (){
$url = 'http://test/index.php?view=tovar&table=test';
$table = preg_replace('#^(.*?)(=)(\w+)$#u', '$3', $url); // Выдёргиваем
$tabl_original = array("mk1002ba", "mk1003ba"); // Таблицы, которые реально существуют

if(in_array($table, $tabl_original)){
$query = "SELECT * FROM ".$table;
} else {
$query = FALSE;

$res=mysql_query($query) or die (mysql_query()); здесь выдает ошибку!

$cat=array();

while ($row = mysql_fetch_array($res)) {
$cat[] = $row;
}
return $cat;
}
}

Вот так попробуйте:

$table = $GET['table'];
$tabl_original = array("mk1002ba", "mk1003ba"); //  Таблицы, которые реально существуют

if(in_array($table, $tabl_original)){
	$query = "SELECT * FROM ".$table;
	// Запрос
} else {
	$query = FALSE; 
	// Показать ошибку
}

_____________
Принимаю заказы, писать в ЛС

VSK
1. Все запчасти хранить в одной таблице, разделять их не по названию таблицы, а по содержанию ячейки. Как с логинами: есть таблица `users` , в ней есть `login` = 'inpost', так тут точно так же!

2) Если у тебя есть перечень доступных таблиц и ты не хочешь, чтобы тебя взломали, то тебе нужен минимум

if(!in_array($_GET['имя_таблицы'],array('имя_1','имя_2'))) {
    такой таблицы нет!
}

Этим ты себя обезопасишь от постороннего ввода данных хакерами.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).

sergeiss Это же для примера. Как-то мы с тобой не правильно поняли друг друга.

Смотри, ТС попросил достать переменную, которая находится в ссылке. В какой ссылке он не указал, может он файл парсит, поэтому я предложил вырезать регулярным выражением:

$test = 'http://test/index.php?view=tovar&table=test';
$table = preg_replace('#^(.*?)(=)(\w+)$#u', '$3', $test);
$query = "SELECT * FROM ".$table;

Дальше ТС просит показать, чтобы нельзя было подключиться к левой таблице, на что я предложил такой вариант:

$url = 'http://test/index.php?view=tovar&table=test'; // Ссылка
$table = preg_replace('#^(.*?)(=)(\w+)$#u', '$3', $url); // Выдёргиваем
$tabl_original = array("foo", "bar", "hello", "world"); //  Таблицы, которые реально существуют
if(in_array($table, $tabl_original)){
	$query = "SELECT * FROM ".$table;
} else {
	$query = FALSE;  
}

Потом Игорь сказал, что ТС возможно имел ввиду GET, поэтому я немного поправил $table:

$table = $GET['table']; // Или так, но если table не меняется

В итоге, если всё собрать, то получится:

$tabl_original = array("mk1002ba", "mk1003ba"); //  Таблицы, которые реально существуют

if(in_array($GET['table'], $tabl_original)){
	$query = "SELECT * FROM ".$table;
	// Запрос
} else {
	$query = FALSE; 
	// Показать ошибку
}

_____________
Принимаю заказы, писать в ЛС