PHP и подводные камни

[BelkinBelkin]

Здравствуйте!
Я новичок в PHP, знаю только синтаксис языка и ряд функций. Нет продолжительного опыта, поэтому не знаю про подводные камни.

Из программы на Delphi я отправляю своему серверу методом Get ссылку (...file.php?method=setGame&user_id =' + Edit1.Text + '&value=' + Edit2.Text и т.д.)

На стороне сервера мой php-файл (file.php) обрабатывает это:

if ($_GET["method"] == 'setGame') {
$userid = $_GET['user_id'];
$value = $_GET['value'];
и т.д.

Потом помещаю данные в MySQL.

Вопрос собственной вот какой. Какие меры безопасности нужно использовать в php-коде? Слышал про инъекции. Нужно же еще проверять значения на пустоту, да?
Есть где-нибудь статьи по этой теме?

Спасибо заранее.

[Alex11223]

Для изменения данных никогда не надо использовать GET, только POST, иначе могут возникнуть разные проблемы.
Например придет гугло-робот и добавит вам что-то, или случайный переход из истории браузера.

Сообщение от BelkinBelkin

Нужно же еще проверять значения на пустоту, да?

Да, но это не SQL инъекции.
SQL инъекции это например когда приходит человек с именем Vasya'); DROP TABLE users

Есть функции для экранирования типа addslashes (или mysql_escape_string? или mysql_real_escape_string? ), но лучше использовать prepared statement в PDO или mysqli_*
https://en.wikipedia.org/wiki/Prepar...tement#PHP_PDO

www.phptherightway.com/#databases / http://getjump.me/ru-php-the-right-w...BD%D1%8B%D1%85

[BelkinBelkin]

Сообщение от Alex11223

Для изменения данных никогда не надо использовать GET, только POST, иначе могут возникнуть разные проблемы.
Например придет гугло-робот и добавит вам что-то, или случайный переход из истории браузера.

А как это произойдет? Существование файла file.php скрыто от внешнего мира.

[Alex11223]

Ну мало ли. Вдруг когда-то откроется или где-то кто-то вставит ссылку. Даже в скайп.

Просто нет причин не использовать POST )

[BelkinBelkin]

А если Post, то запрос нужно как-то менять?

Я использую
NetHTTPClient1.Get

[Alex11223]

Да. URL просто ......file.php, а данные в теле.

Indy или какой клиент?

http://stackoverflow.com/a/302061/964478