SQL Injection対策はこれで十分？

質問

データベースにMySQLを使用しています。SQL Injection対策を行いたいのですが、以下の方法で十分防ぐことができるのでしょうか？

<?php
$hoge = $_GET['ok'];

$sql = "select * from ok where user = '".mysql_real_escape_string($hoge)."';";
$res = mysql_query($sql .......
?>

よろしくお願いします。

回答No.1

yambejp · ベストアンサー

injection対策としてはよろしいのではないですか？
ユーザーデータのフォーマットがあるなら正規表現で
はじくのをいれた方がベターかもしれませんね。
クッキーでカウントして、数度失敗すると
一定時間アクセスできないようにするとかいろいろ
対策はあるでしょう。

それとユーザーIDをGETで送らせるのは
どうかとおもいますけど・・・
パスワードの設定もおわすれなく。