L'attenzione ai parametri

Quando si accettano dati da un utente dovrebbero essere sempre disinfettati prima di mandarli in esecuzione al database.
Una vignetta spiega più di mille parole.

Xkcd (Exploit of a mom). Qualche esempio qui.
Per il Bravo Programmatore MySQL, la  funzione da utilizzare è ad esempio mysql_real_escape_string