здравствуйте, есть код
$insert_sql = "INSERT INTO ".$pages_table." (`title`,`keywords`, `description`, `pages_inf`, `content`)" .
"VALUES('".$title."', '".$keywords."', '".$description."', '".$pages_inf."', '".$content."');";
как сделать его безопасным?
Про mysql_real_escape_string я знаю, но как его использовоть на столько переменных
И еще этот
$data_arr = array($title, $keywords, $description, $pages_inf, $content);
return $data_arr;

Очевидно, надо применить эту функцию к каждой переменной. Но... Вы сейчас меня прочитали и забыли то, что я сказал

Расширение PHP, которое использует функции mysql_* устарело, используйте mysqli, либо pdo_mysql.

Если перейдете на одно из них, то рекомендую использовать подготовленные запросы. В таком случае отпадет необходимость экранировать данные перед выполнением запроса, за одно и отучитесь конкатенировать запросы с входящими данными.

http://php.net/manual/ru/book.mysqli.php
http://ir2.php.net/manual/ru/book.pdo.php

a как вы отличили mysql от mysqli?

Очень просто, Вы же сами написали про mysql_real_escape_string

aaa ясно! А про экранирования что скажете? "'".$ddd."'" на сколько это безопасно (mysqli)

там используются подготовленные запросы http://docs.php.net/manual/ru/my...d-statements.php

Спасибо вам ребята!