Hogy tudom megcsinálni, hogy HTML-ben, hogy egy input szövegbox beküldésével a felhasználó ne tudjon nekem bajt csinálni?

most akkor html vagy php????

a HTML egy leíró nyelv, abban sehogy, ha használsz php-t, akkor meg mindent szűrsz, pl. mysqli_real_escape_string, htmlspecialchars...

Nem tudom, hogy erre gondolsz-e, de szerintem igen:

[link]

Először is tudnod kell milyen adatot vársz, aztán létrehozod a megfelelő feltételeket, amivel validálod az adatot.

Ha tag-eket sem akarsz megengedni: strip_tags()

a ' és " karakterekre: htmlspecialchars()

kiescape-eled az adatot: mysqli_real_escape_string()

Persze ezek csak a legalapabb dolgok, amiket a védelem érdekeben meg lehet tenni.

Mindig a konkrét probléma dönti el, mit, hogyan is ellenőrizd az adatokat.

És ugye soha nem raksz SQL -be csupasz változót!

Vagy is ha elméletileg számot vársz, nem indézőjelek nélkül nyomod be.

pl.: mysql_query("SELECT * FROM `table` WHERE `id`=$id "); <<< helyett!!!

mysql_query("SELECT * FROM `table` WHERE `id`= '$id' ");

Sőt!

Célszerű a változót ellenőrizni, vagy előtte vagy SQL -be illesztésnél.

if(is_numeric($id)) {

mysql_query("SELECT * FROM `table` WHERE `id`= '".mysql_real_escape_string($id)."' ");