un'ultima cosa riguardo all'sql iniection.
Leggendo la guida sulla sicurezza http://www.html.it/pag/16878/sql-injections/ trovo che il malintenzionato potrebbe inserire dei caratteri e stringhe in una query per introdursi e ottenere ad esempio la lista utenti del db.
SELECT * FROM tabella_utenti
WHERE usr=’qualsiasi_nome’ OR 1 — ‘ AND pwd=’qualsiasi_stringa’;

ma io la query la imposto nella pagina in php e non la creo. O meglio la creo ma solo dopo aver sistemato le variabili e costruito la query. è rischioso lo stesso?

le mie query generalmente le faccio cosi:

select * from nometabella where id=$id se è un numero
select * from nometabella where id='$nome' se è un numero

va bene?