Sécurité où en est on ?

bonjour,
je continue le développement de mon site et j'arrive à un point crucial.
la sécurité !!!
bref, pour rappel, je fais un site d'annonces et je débute le php il y a 6 mois avec ce projet.
m'enfin, j'ai trouvé pas mal de truc mais qui datent.
donc je voulais faire le point.

sur mon site, il y a des formulaires pour entrer des annonces et un moteur de recherche pour les chercher. donc injection sql est ce que le mysql_real_escape_string est suffisant pour tout, sachant que sur ma config serveur (héberge par phpnet)j'ai magic_quotes_gpc en on, magic_quotes_runtime en off et magic_quote_sybase en off aussi

après, il y a les WWW.monsite.fr/page.php?id=XXX. comment je protège ça

puis pour finir, j'ai sur chaque script un include pour la connection à ma BDD quel peut être la parade?

je vous pose ces question car j'ai du mal à trouver des réponses récentes.
merci en tous cas pour les réponses que vous apporterez
@+

BONJOUR

normalement mysql_real_escape_string() suffit

il y a aussi les injections xss
strip_tags() peut t'aider
si tu veux pas par exemple de faire injecter des javascripts
par un textarea (classique)

ex:
<script>alert('pas de chance');</script>

moi je filtre et j'autorise dans ce genre de site que les caractéres
usuels [] lettres accents chiffres @


ereg() ou eregi
(OBSOLETE depuis PHP5.3.0.)
regardes cette page
http://php.net/manual/fr/function.eregi.php
exemple du manuel
Prevent XXS attack

<?php
// Prevent any possible XSS attacks via $_GET.
foreach ($_GET as $check_url) {
if ((eregi("<[^>]*script*\"?[^>]*>", $check_url)) || (eregi("<[^>]*object*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*iframe*\"?[^>]*>", $check_url)) || (eregi("<[^>]*applet*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*meta*\"?[^>]*>", $check_url)) || (eregi("<[^>]*style*\"?[^>]*>", $check_url)) ||
(eregi("<[^>]*form*\"?[^>]*>", $check_url)) || (eregi("\([^>]*\"?[^)]*\)", $check_url)) ||
(eregi("\"", $check_url))) {
die ();
}
}
unset($check_url);
?>

les snippets ne manque pas
a++

Pour ma part, j'abandonnerai les fonctions mysql_*.. pour à défaut de mysqli_ choisir un connecteur plus sécurisé, comme PDO, Doctrine ou autre ORM..
Et puis va jeter un coup d'oeil sur la notion de sanitize en PHP. C'est une notion qui demande l'apport de librairies qui 'épure' les données d'entrée pour s'assurer que rien ne les compromet.
S.

du coup, je viens d'avoir une idée. ne rigolez pas, je suis encore un débutant quand même.
si coté client, j'interdis des caractères des mots ou des phrase avec du js est-ce utile ou pas ?

bonsoir

les hackers desactivent le javascript dans leur navigateur ...

a++

ha d'accord
bon sachant que je n'i pas de paiement en ligne ou autre truc payant, je ne pense pas attirer les gros poissons du piratage.
je pense commencer avec un protection simple style COD57 après, dès que j'aurai gagné un peu de sous, je ferai appel à un spécialiste de la sécurité. c'est ce qui me semble être la meilleure solution

Ils ne sont meme pas obliges de desactiver complement vu qu'ils on acces a tout le javascript ^^ Je me rapelle d'un site ou le click droit etait "interdit" et en une ligne je l'ai reactive.

Du moment que c'est cote client c'est faible niveau secu.

bonjour
pour rebondir sur le sujet
il y a 3 tutos sur phpcs

http://www.phpcs.com/tutoriaux/COMMENT-SECURISER-SON-SITE-EVITER-FAILLES-PHP_202.aspx

http://www.phpcs.com/tutoriaux/PROTECTION-CONTRE-FAILLE-XSS_424.aspx

http://www.phpcs.com/tutoriaux/INJECTION-SQL-EVITEZ-FAILLES-DANS-VOS-REQUETTES_491.aspx

a++

J'ai trouvé ça sur le site php.net
est-ce le sanitize dont parle syndrael ?
coté application est suffisant pour éviter les injection?
je la mets en début de script et l'appelle à chaque requete en faisant sanitize_request()???

syndrael a raison mais je precise
à savoir à partir de php version 5.2 attention ...
ici un exemple

http://net.tutsplus.com/tutorials/php/sanitize-and-validate-data-with-php-filters/

a++