Indien je, nog door wilt gaan met het gebruiken van MySQL, dan zou ik de functie mysql_real_escape_string() samen met de trim() functie gebruiken.
Als voorbeeld:
mysql_real_escape_string(trim($_POST['login']))
http://www.php.net/trim
http://www.php.net/manual/en/f…ql-real-escape-string.php
Wat ik zelf en andere aanraden is om bijvoorbeeld over te stappen naar de prepared statement van bijvoorbeeld MySQLI.
Als voorbeeld in jouw geval ongeveer:
<?php
//Het mist nog een groot stuk, gebruik hiervan maken kan dus niet.
$stringLogin = trim($_POST['login']);
if($stmt = $mysqli->prepare("SELECT login,actief FROM users WHERE login=?"))
{
$stmt->bind_param("s", $stringLogin);
$stmt->execute();
$stmt->close();
}
?>
Toon Meer
Bij PDO gebruik ik zelf de prepared statement met arrays:
<?php
$stringCode = 'Hulp';
$stringUrl = 'http://icts.nl';
//We gaan nu verder en importeren het in de database.
$stmt = $db->prepare(" INSERT INTO hulp(code, redirect) VALUES (?, ?) ");
//In PDO is er geen real_escape_string maar de quote() functie, als je deze zonder de substr() fucntie gebruikt wordt er bijv. in de DB enkele single quotes gezet rondom de info.
$stmt->execute(array(substr($db->quote($stringCode), 1, -1), substr($db->quote($stringUrl), 1, -1)));
?>