das ganze müßte jetzt noch sicher gemacht werden gegen injections, wer eine idee wo man ansetzen könnte?

gruß marco

Alles, was von "ausserhalb" kommt (also alle Daten, die PHP per GET, POST etc reinbekommt) und in einer Mysql-Abfrage verwendet werden soll, zuerst mit mysql_real_escape_string behandeln.

Wenn es dann in eine HTML-Seite wieder ausgegeben werden soll, eventuell auch prüfen, ob nicht etwa ausführbarer JS-Code etc drin ist (auf <script> usw. prüfen)