Аутентификация и авторизация пользователей

Добрый день уважаемые пользователи форума.

Стоит задача:
Авторизация, аутентификация пользователей с последующим доступом к БД.

Что имеется:
БД MySql (включая таблицу пользователей с login и password (в md5 конечно)

Проблема:
Ну никак не могу вкурить каким образом это реализовать.
Т.е. по http-запросу со стороннего приложения (не php) пользователям требуется отдавать различные данные с БД (либо обновлять данные пользователя в БД, либо добавлять новые данные в БД). Возвращать данные, я так понимаю, лучше всего в формате JSON, затем парсить их и т.п. (это уже проблема клиентской части).

Не могу понять, как же все таки защитить серверную часть на php от прямых запросов в url'е, как исключить возможность явных sql-инъекций.

PS: прочитал гору уроков и мануалов, но что-то в голове все никак не устаканится. Помогите, уважаемое сообщество, разобраться в столь простом для вас, и сложном для меня деле.

А зачем?


Так же, как обычно. Препарированные запросы или экранирование.

-----
PostgreSQL DBA

в смысле зачем? передавая post'ом параметры в скрипт , в url можно подставить всё что угодно, что чревато злоупотреблением со стороны пользователей

Вы должны штатно отвечать ошибкой на неправильное действие пользователя. Всё, и пускай запрашивают что угодно и как угодно.

-----
PostgreSQL DBA

хорошо, попробую сформулировать по-другому:
юзер авторизуется посылая свои данные через post скрипту php, после этого его надо как то сохранить в статусе онлайн (я подозреваю что требуется сессия), но при выполнении скриптов на add/edit/delete в БД все данные передаются опять в url через post. Т.е. любой человек, даже не авторизованный может забить любые данные в url и "побить" базу данных анонимно.

Как сделать проверку? Проверять наличие сессии?

Ну разумеется. При авторизации вешаете сессию (штатную сессионную куку или авторизационный токен), потом его проверяете.

-----
PostgreSQL DBA