~AL~, я ему пример показал -.-

mysql_escape_string()
ну или mysql_escape_string хотя это хня, легче тупо вырезать \' \" .. знаки...

RSST, ну или вот, с текстом:

[code]

$_GET[\'text\'] = htmlspecialchars($_GET[\'text\']);

mysql_query(\"insert into `chat` (`text`) values (\'\".$_GET[\'text\'].\"\')\";

[/code]

всё просто))

RSST, вот фильтр:

[code]
$_GET[\'id\'] = (int) $_GET[\'id\'];
mysql_query(\"update `users` set `online` = \'\".time().\"\' where (`id`=\'\".$_GET[\'id\'].\"\')\";
[/code]

фильтровать нужно не запрос, а то что идет в запрос.

RSST, -.- это что за бредятина?