Pues no sere experta en la materia, pero tengo entendido que para inyectar por la barra de direcciones las variables deben ser GET, para eso solo basta filtrar las entradas a dichas variables, eso lo puedes hacer con alguna funcion de depuracion, mas info
AQUI