Para usar mysql_real_escape_string

[hoberwilly]

Hola amigos,
por favor quisiera me orientaran con el uso del mysql_real_escape_string:

Código php:

<!-- <?php
session_start(); 
include('conec.php');
$link = conectarse();
$nick=$_POST['Usuario'];
$pass=md5($_POST['Password']);
if($nick==NULL|$pass==NULL)
{
    echo "<h3>Ingrese usuario y/o contraseña</h3>";
}else
{
    $sql = "SELECT * FROM usuario WHERE username='$nick'";
    $consulta= mysql_query($sql,$link,mysql_real_escape_string($nick)); -->
 

si estamos en lo correcto...gracias

[GatorV]

mysql_real_escape_string solo funciona bajo las variables que quieras escapar:

Código php:

<?php
$sql = "SELECT * FROM usuario WHERE username='" . mysql_real_escape_string($nick) ."'";
 

Saludos.

[kronenmix]

Sí, y además de escapar las comillas, deberias pasar un filtro anti codigo html para evitar inyección html en tu web.

[hoberwilly]

Muchas gracias GatorV por la respuesta.
Solo un par de cosas aprovechando este post:
1. para mi caso particular aplicaria para mi variable $pass(esta cifrado)
2. de una manera entendible, precisa y si no fuera mucha la molestia podrias explicarnos con el mismo ejemplo, que significa y ocurriria el ataque de inyeccion sql

Y gracias otra vez

Por favor, si podrian ayudar para estas dos ultimas consultas...muchas gracias

[GatorV]

1.- No necesariamente ya que la cadena MD5 no tiene caracteres que necesites escapar, pero no afecta en nada que la uses.

2.- Revisa en Google, es un tema muy amplio pero en particular es cerrar tu consulta SQL y ejecutar otra saltando tu codigo.

[hoberwilly]

Muchas gracias GatorV, estare revisandolo