Protección de formulario contra inyección sql (ando perdido)

[xfxstudios]

podrías utilizar cualquier de estas funciones a ver:

Código PHP:

//Limpia la variable de caracteres no permitidos
//ESTA NO RECUERDO DONDE LA VI PARA PODER DARLE CRÉDITO AL AUTOR
function limpiaVar($X){
 
    $NP = array("'",'\\','<','>',"\"",";","&","%","#"); 
    $X = str_replace($NP, "", $X); 
    
return $X;
}
 
//escapa caracteres no válidos Ej entra D'jango y sale D\'jango. $X es la conexion a bd ej. $db
//ESA SE ENCUENTRA AQUI EN FOROS DEL WEB 
function MyScape($X, $cadena) {
    if(get_magic_quotes_gpc() != 0) {
        $cadena = stripslashes($cadena);
        return $cadena;
    }else{
    return mysqli_real_escape_string($db, $cadena);
    }
}