sql - html injection

[hyezs]

Código PHP:

  <?php 
session_start(); 
include "../conex.php"; 
if(isset($_POST['enviar'])) 
{ 
    $user = $_SESSION['user']; 
    $rango = $_SESSION['rango']; 
    $mensaje = $_POST['mensaje']; 
    $insert = "INSERT INTO chat (user,mensaje)"; 
    $insert= $insert."VALUES ('".$user."','".$mensaje."')"; 
    mysql_query($insert,$con); 
    header("location: ../index.php"); 
     
    } 
    else {echo "ERROR!";} 
 ?>   

alguien sabe como puedo protejer este codigo? soy bastante nuevo en php y no tengo ni idea

[webankenovi]

Hecha un vistazo sobre validaciones y saneamiento , escapar consultas , y mira algo de PDO, mysqli .

Aparte de ser vulnerable a SQL Injection tambien lo es a XSS

hecha un vistazo a este post , te puede servir como orientacion.

http://www.forosdelweb.com/f18/seguridad-web-1004102/