[php] sicurezza e query injection

[dalceredo]

Ciao a tutti!!!

secondo voi un query di questo tipo e' sicura da un punto di vista delle query injection?

$categoria=addslashes($data['categoria']);
$lingua=addslashes($data['lingua']);
$new_name=addslashes($new_name);
$size=addslashes($size);
$type=addslashes($type);
#Query d'inserimento
$sql=@mysql_query("INSERT INTO $_CONFIG[table_categoria] (
categoria, id_lingua, nome$numero, size$numero, type$numero) 
VALUES 
(
'".$categoria."',
'".$lingua."',
'".$new_name."',
'".$size."',
'".$type."'
)")or die (mysql_error()); 

posso fare di meglio?

help me! please!!!!

[polinet]

io farei un controllo sui campi.
Ovvero: lingua si aspetta solo lettere e non numeri... etc.....
userei un PREG_MATCH

[dalceredo]

Forse così e' meglio?
ho messo ".$_CONFIG['table_categoria']." tra virgolette.
Questa operazione la rende più sicura?

#Sicurezza contro query injection!!!
$categoria=addslashes($data['categoria']);
$lingua=addslashes($data['lingua']);
$new_name=addslashes($new_name);
$size=addslashes($size);
$type=addslashes($type);

#Query d'inserimento
$sql=@mysql_query("INSERT INTO ".$_CONFIG['table_categoria']." (
categoria, id_lingua, nome$numero, size$numero, type$numero) 
VALUES 
(
'".$categoria."',
'".$lingua."',
'".$new_name."',
'".$size."',
'".$type."'
)")or die (mysql_error());