validacaoes de forms

mysql_real_escape_string

(caso for mysql)

se não for mysql use

addslashes

strip_tags

pra remover os tags html

nos dados que vem do form .!

Abraços

esqueci de dizer que é mysql sim.. e obrigado. No caso dessa primeira que tu falou coloco tipo assim?

$nome = mysql_real_scape_string($_POS['nome']);

e as outras só no caso de não for mysql, não entendi direito desculpe..

sim ..

alguns dbs não tem a funçao do escape_string .. então use a nativa do php addslashes

Assim

$nome = mysql_real_scape_string(strip_tags($_POST['nome']));

ou então , pra não ter que botar isso em todas variaveis .. crie uma funçao ..

function anti_injection($var){
$var = mysql_escape_string($var);
$var = strip_tags($var);
return $var;
}

Usando:

$nome = anti_injection($_POST['nome']);

Abraços ;) ^_^

>
to usando crud pra cadastrar e consultar atraves de um form

e oque exatamente você chama de crud

CRUD seria create retrive update e delete correspondendo ao insert, select, update e delete no banco, usando a classe PDO que se torna mais rápida e segura com relação ao mysq_lala e busca uma padronização da forma que o PHP se comunica com o banco, tendendo a ser mais simples do que usar bibliotecas de funcoes, mas mesmo assim exigindo o conhecimento da sintaxe sql para cada tipo de bd, me corrija se tiver falando besteira mas foi o que andei lendo por ae em tutos e tals, em primeiro lugar to aqui pra aprender, espero que não esteja falando nenhuma besteira ou inflingindo alguma regra, desde ja agradeço a você Andrey pela ajuda vou estudar mais, vlw..

obs: eu criei o tópico porque andei lendo em uns blogs e tals que só protege contra injection, ai fiquei pensando quais as outras formas de ataques e como posso me previnir no pouco que sei, apenas isso..