Защита от запросов SQL

[maksim_serg]

Добрый день
Не силен в php, написал свой простенький сайт. Ни чего особенного одна страница index.php и содержимое формируется в зависмости от адреса, например

http://site/?id=1

идет поиск в базе содержимого с id=1 и выводится текст (id = var(10))

Последнее время сайт часто блокируют и на почту приходят сообщения типа:

Превышено время работы скрипта....
и такие запросы:

MySQL Query: SELECT description,keywords,title FROM page WHERE id='1' or 1=(/**/sElEcT 1 /**/fRoM(/**/sElEcT cou

или

SELECT description,keywords,title FROM page WHERE id='1111111111111111111111111111' UNION SELECT CON

Что это такое и как от этого избавиться?

[Andkorol]

Очевидно, в коде присутствуют уязвимости, позволяющие использовать SQL injection.
Нужно смотреть код.
Защита от SQL-инъекций
SQL injection для начинающих
SQL injection полный FAQ

[maksim_serg]

спасибо
кажется есть идея
вот код ( с коленки набран)

$sql = "SELECT description,keywords,title FROM page WHERE id='$_GET[id]'"

думаю нужно так:

$param = $_GET[id];
'а тут его проверить с помощью регулярных выражений на правильность (только цифры, не более 10 символов);
'если не соответствует - страница 404;
$sql = "SELECT description,keywords,title FROM page WHERE id='$param'"

а как составить регулярное выражение?

[ADSoft]

$param = intval($_GET[id]);

думаю вполне хватит вам

[maksim_serg]

тоже вариант, благодарю всех

[Dmitry33RU]

if(!preg_match("/^[0-9]+$/", $id)) exit("Неверно указан идентификатор!");

Ну или можно еще добавить ограничение на кол-во цифр

if(!preg_match("/^[0-9]{1,10}$/",$id)) exit("Неверно указан идентификатор!");

[Gost1]

to maksim_serg. Сергей, надо завершить то, что мы с Вами начали. Отдайте нам исходники - мы Вам заплатим.

[uberchel]

ADSoft уже ответил, как надо делать, для числовых переменных хватает intval() или (int)

[maksim_serg]

Сообщение от Gost1

to maksim_serg. Сергей, надо завершить то, что мы с Вами начали. Отдайте нам исходники - мы Вам заплатим.

чё? какие исходники?