Возможна ли SQL-инъекция, если в строку запроса к БД подставляется нефильтрованное значение $_SERVER['QUERY_STRING']

?

Возможна.

Не факт.

Кстати. Почему не используют magic_quotes для защиты от SQL inj?

А пример какой-нибудь можно?

оффтоп:

используют. но 100% защиты они не дадут, т.к. есть char например.

h00lyshit! массиву _SERVER все равно, что там установлено в magic_quotes_gpc

h00lyshit! ну давайте придираться к формулировкам и к тому кто, что подумал)

Общий вопрос, но при этом только про гет пост куки?

100% защиты не дадут, и один из примеров - char. Второй из примеров - игнорирование директивой magic_quotes_gpc массива _SERVER.

Но это так, в качестве придирки

Romashka_Sky да, возможна, но некоторые браузеры (например FF) принудительно делают urlencode кавычек, а пхп не совершает urldecode для массива _SERVER

Да. Кавычку можно поставить. А вот пробел уже никак? Ведь результат urlencode() не может содержать пробел

Romashka_Sky /showpost.php?p=1098045&postcount=2

Спасибо