Ubicación de mysql_real_escape_string

[elsolodigno]

Hola estimados,

En qué línea debo agregar mysql_real_escape_string() para protegerme de un posible ataque de SQL Injection?:

Yo lo tengo así para una consulta que trae datos de unos GET[]:

......................

$cod1 = $_GET['cod1'];
$cod2 = $_GET['cod2'];
require("conectar.php");

$codigo1 = mysql_real_escape_string($_GET['cod1']);
$codigo2 = mysql_real_escape_string($_GET['cod2']);

$consulta = mysql_query("SELECT * FROM codigos WHERE cod = '$codigo1'");
while($resultado = mysql_fetch_array($consulta))

......................

Está bien la utilización del mysql_real_escape_string?. Me pueden dañar mi sitio?.

Aclaro que sólo lo uso para consulta; las altas, modificaciones y eliminaciones las hago directamente desde phpmyadmin.

Muchas Gracias de antemano!.

[jsdevelop]

Está bien como lo usas, pero además deberías usar expresiones regulares para verificar que lo que llega tiene el formato que esperas. En el caso de que tus variables que vienen por $_GET deban ser numéricos, solo utiliza:

Código PHP:

  intval($_GET['variable']);  
   

[loncho_rojas]

Bueno, con los genios se puede esperar de todo, pero deberias cuidar la parte donde ingresas tu usuario y contraseña mas que nada... pero esta bien empleado, si lo que quieres es evitar que intorduzcan el tipico 'OR ='' o cosas asi... de todas formas deberias usar una proteccion contra XSS tambien, con htmlentities.. en internet encontre esto que puede ser util

Código PHP:

  function sql_quote($value){
        if(get_magic_quotes_gpc())
        {
            $value = stripslashes($value);
            }

        if(function_exists("mysql_real_escape_string"))
        {
            $value = mysql_real_escape_string($value);
            }else{
                $value = htmlentities(addslashes($value));
                }
    return $value;
    }  
   

puedes usarlo asi

Código PHP:

  $cod1 = $_GET['cod1'];
$cod2 = $_GET['cod2'];
require("conectar.php");

$codigo1 = sql_quote($_GET['cod1']);
$codigo2 = sql_quote($_GET['cod2']);

$consulta = mysql_query("SELECT * FROM codigos WHERE cod = '$codigo1'");
while($resultado = mysql_fetch_array($consulta))