Seguridad en consulta MySQL

[king95]

Este código les parece seguro para hacer una consulta a MySQL por parte de la url, es decir: http://page/hash << hash es la consulta

Código PHP:

  require_once("../php/conf.php"); 
$conf = new configuration(); 
$link = $conf->connect(); 
function get_url() { 
  $parametros = array(); 
  $url = parse_url($_SERVER['REQUEST_URI']); 
  foreach(explode("/", $url['path']) as $p) 
    if ($p!='') $parametros[] = $p; 
  return $parametros; 
} 
 
mysql_select_db($conf->database_1,$link); 
 
$url=get_url(); 
$hash = $url[1]; 
 
$searchSQL = sprintf("SELECT *  FROM `sys.user` WHERE `hash` = '%s' LIMIT 1", 
                    mysql_real_escape_string(addslashes($hash)) 
             ); 
 
$searchQUERY = mysql_query($searchSQL);  
   

[Sourcegeek]

¿Seguro en qué sentido? Hay diferentes tipos de seguridad, ya sea prevenir XSS, SQLi....

[chalnet]

Si te refieres a inyecciones sql esta bastante bien con respecto a la seguridad , pero recuerda que la inyeccion sql depende la creatividad y la capacidad del atacante, trata de crear una funcion para codificar la url si puedes y despues decodificarla, tambien trata de burlar los caracteres hexadecimales, etc ... recuerda nunca hay una seguridad extrema pero trata por lo menos de dificultar a los atacantes novatos pero dentro de todo esta bastante seguro.
Un saludo