Cara mencegah SQL Injection

Untuk mencegah terjadinya SQL Injection maka input harus di filter terlebih dahulu untuk menghilangkan karakter-karakter yang tidak diinginkan

ini contoh sebuah fungsi untuk mem-filter input dari user

anggap saja nama filenya adalah sqlfilter.php

function SQLFilter($val){
// Karakter yang sering digunakan untuk sqlInjection
$char = array ('-','/','\\',',','.','#',':',';','\'','"',"'",'[',']','{','}',')','(','|','`','~','!','@','%','$','^','&','*','=','?','+');

// Hilangkan karakter yang telah disebutkan di array $char
$cleanval = str_replace($char, '', trim($val));

return $cleanval;
}
?>

contoh

index.php

include 'connect.php'; anggap saja semua koneksi sudah beres
include 'sqlfilter.php';

$id = SQLFilter($_GET[id]); //saring input dari user
$hasil = mysql_query("SELECT * FROM user WHERE id=$id");
white($row = mysql_fetch_array($result)) {
echo $row['username'];
echo '
';
}
mysql_close();
?>

Semoga bermanfaat :)

sumber : http://forum.devilzc0de.org/thread-5701.html