Přesměrování SQL injection a znaků v adrese

Tatranieux:
„Případně existuje jiná ochrana?“
Ano, řešením je ošetřovat vstupy na úrovni DB, příp. to nechat na nějakké databázové vrstvě.

Závorka v URL ničemu nevadí, nebezpečné jsou tvé nezabezpečené SQL dotazy.

Tatranieux:
Psal jsi o sql injection. Ta se v htaccess neřeší.

Jinak to, co hledas, je obyc. regular kontroluji i ty závorky, atd. Zkus a vrat se, pokud nebudeš vědet, jak dále.

I kdybys takto vyřešil GET, nevyřešíš tím odesílání formulářů pomocí POST.

Jediným správným řešením je ošetření vstupu na každém místě zvlášť podle kontextu. Jinak budeš ošetřovat boolean/číslo/řetězec/datum v SQL, jinak při generování HTML nebo JSON. Nepřemýšlej o tom jako o útoku nějakého hackera, ale naopak jako o své hrdosti, že aplikace se bude chovat správně za každé situace. To nejsou případy, které můžeš vyřešit později. Kvalitní programátor se nepozná podle rychlosti vývoje, ale spíše podle spolehlivosti kódu.

Escapování na každém místě stojí čas a je náchylné na chyby (záměrné: "adresa nikdy nebude obsahovat tento znak" i nechtěné), proto máme mnoho knihoven, které escapování řeší za nás. Používej něco modernějšího než nativní mysqli. Už se v PHP několik let nepohybuji, ale tehdy bývala oblíbená knihovna github.com/dg/dibi

Osobně neznám moc důvodů používat strip_tags - to zavání tím, že se snažíš o nějaké univerzální escapování. Pokud uživatel chce napsat něco se špičatými závorkami, tak mu ty špičaté závorky ulož a zobraz. Pokud špičaté závorky jsou zakázané - například v emailové adrese, proveď validaci, uživateli ukaž chybu a nesnaž se za uživatele opravovat to, co napsal.