como evitar sql injection en php?

[tabelor]

Aunque parezca que el tema va en el foro de sql es aquí donde lo posteo porque sé más o menos como habría que hacer para evitar las sql injections: escapar las comillas simples poniendo \ delante de ellas. También hay funciones que lo hacen automáticamente

$texto=mysql_escape_string($texto) //por ejemplo

. El problema es que cuando pinto la query me sale una consulta sql con las barras de escape delante y la base de datos no se la traga. Alguien me puede hechar un cable?

[el_quick]

usando mysql_escape_string está bien, y lo de las barras invertidas es normal, cuál es el problema? no termino de entender.

[tabelor]

Hago la query:

$sql = "insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values ($id,44,'$titulo','$descripcion')";

Le paso la función que le mete los caracteres de escape:

$sql = mysql_escape_string($sql);

La query me queda así:

print_r($sql);
//apareceria la query así (id_ficha,id_idioma, descripcion) Values ($id,44,\'loquesea\',\'loquesea\')";

y al pasarlo a base de datos me da error:

$resultado=mysql_query($sql);

[el_quick]

Problemas de concatenación intenta así:

Código PHP:

$sql = 'insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values ($id,44,' . $titulo . ', ' . $descripcion . ')';
 

[tabelor]

casi pero ahora me pinta esto:

insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values (51363,44,Circular al macizo central (Picos de Europa) cerca de Los Llanos, Castilla y León (España),El tramo de la ruta del cares esta prohibido montar en bici)

es decir que ahora le faltan las comillas simples a los textos y por lo tanto me da un error de sintaxis.
Esta es la línea de código que te acabo de pintar:

$sql = 'insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values (' . $id . ',44,' . $titulo . ',' . $descripcion . ')';
$sql=mysql_escape_string($sql);

[pateketrueke]

Si quieres aprender a manejar bien las comillas por tu cuenta te sugiero leer esto:
http://www.forosdelweb.com/f18/como-...s-bien-588701/

Se supone que las variables debes escaparlas individualmente antes de armar la consulta, y no escapar la consulta completa.

[el_quick]

Perdón, fue por hacerlo rápido... ahora si...

Código PHP:

$sql = 'insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values ($id,44,\'' . $titulo . '\', \'' . $descripcion . '\')';
 

recuerda leer el link que te puso pateketrueke.

Un saludo!

[tabelor]

Gracias a los dos, sois unos cracks!