Страница example.com/item/5/
выводит данные из БД на основе текущего id, в данном случае ID=5.
Запрос к БД выглядит примерно так:
SELECT * FROM items WHERE item_id = '".$_GET['item_id']."
Проблема заключается в том, что если в адрес страницы, в данном случае, к 5 добавить какие-либо буквы, то страница всё равно вызвается по id = 5.
Например, example.com/item/5xyz/
или example.com/item/5fldsf/
выводят страницу по ID 5.
Прошу помочь. :(
1'; DROP TABLE items;
- вообще счастливы будете )) Если серьезно - проверяйте пришедшее значение, например, через is_numeric