Seguridad en URL PHP

[bandolera]

En mi sistema aparece en la URL esta ruta de mi consulta:

Código PHP:

  http://localhost/productos.php?id=2  
   

Si le agrego un apostrofe al final

Código PHP:

  http://localhost/productos.php?id=2'  
   

Me muestra un mensaje de error en la ejecución del select.

Cómo puedo corregir esto?

[Sourcegeek]

Intenta usar mysql_real_escape_string o addslashes ;)
Asi se previenen los ataques SQL

[bandolera]

Iniciado por Sourcegeek

Intenta usar mysql_real_escape_string o addslashes ;)
Asi se previenen los ataques SQL

Mi función inicial es:

Código PHP:

  function buscar($idProd){ 
       $query = "SELECT id_producto, id_categoria, nombre 
                 FROM   producto 
                 WHERE id_producto='$idProducto'"; 
       $BD = new ConexionDB(); 
       ..... (sigue)  
   

He cambiado por este pero sale un error:

Código PHP:

  $query = sprintf("SELECT id_producto, id_categoria, nombre 
                 FROM   producto 
                 WHERE id_producto='%s'", mysql_real_escape_string($idProducto)); 
       echo $query;  
   

El error que sale es:

Código PHP:

  SELECT id_producto, id_categoria, nombre FROM producto WHERE id_producto=''  
   

Qué está mal? Encontré este código [URL="http://www.ribosomatic.com/articulos/como-evitar-sql-injection-en-nuestra-consultas-phpmysql/"]aquí[/URL]