mysql_real_escape_string funktioniert nicht wie es soll..

[Gast]

$sql="SELECT votes FROM tb WHERE id=".mysql_real_escape_string($_GET['id']);

tja das nützt aber rein garnix, den wenn man jetzt z.B. per
test.php?id=5 OR 1=1 eine Injection versucht, funktioniert das immernoch wunderbar...wie baue ich das mysql_real_escape_string hier ein, damit es auch funktioniert?

[Coda]

Hast du vorher eine MySQL-Verbindung aufgebaut?

Bei einer Integer-id tut's übrigens auch einfach (int)$_GET['id']

[JTHawK]

grundsätzlich sollte man immer mit hochkommas arbeiten:


$sql= "SELECT votes FROM tb WHERE id='".mysql_real_escape_string($_GET['id'])."'";

[Gast]

grundsätzlich sollte man immer mit hochkommas arbeiten:


$sql= "SELECT votes FROM tb WHERE id='".mysql_real_escape_string($_GET['id'])."'";


danke daran lags! die verflixten hochkommas fehlten!