Protezione SQL Injection

[mydb]

Ok, le stringhe vengono quindi processate così prima di essere passate alla query:

$stringa = mysql_real_escape_string(htmlspecialchars($stringa)) 

Devo fare così anche per i file che vengono uploadati, oppure basta un addslashes()?

fai l'upload di file nel db?