Protección de codigo PHP (Solicito opiniones y algo de ayuda :D)

[rompeguesos]

Hola amigos estoy comenzando con el tema de darle mayor proteccion a mi codigo ya que esto empieza a ser cada vez mas enserio jeje :P, ando un poco perdio en el tema y me gustaria saber que debo de aprender para evitar problemas en mi pagina como por ejemplo inyeccion sql y ¿Que mas me podrian hacer en la web?.

Para empezar quiero que veais el codigo que he creado para el registro de usuarios y que me opineis y dirigais un poco en tema de mejorar la seguridad, el codigo es el siguiente:

Código PHP:

  <?php
include("config.php");
include("../usu/includes/mailer.php");
include("../usu/includes/constants.php");
 
// Preguntaremos si se han enviado ya las variables necesarias 
if (isset($_POST["email"])) { 
$correo = htmlspecialchars(trim($_POST["email"]));
$password = trim($_POST["password"]); 
$cpassword = trim($_POST["cpassword"]); 
$email = $_POST["email"];
 
//recoger direccion ip
$ip = $_SERVER['REMOTE_ADDR'];
 
// Hay campos en blanco 
if($password==NULL|$cpassword==NULL|$correo==NULL) { 
header("location: formreg.php?error=1"); 
}else{ 
 
//Validar direccion de email
if (!preg_match(
'/^[^0-9][a-zA-Z0-9_]+([.][a-zA-Z0-9_]+)*[@][a-zA-Z0-9_]+([.][a-zA-Z0-9_]+)*[.][a-zA-Z]{2,4}$/',
$correo)) {
header("location: formreg.php?error=2"); 
}else{ 
 
//Minimo de caracteres en campo contraseña
if (strlen($password)<4)
{
header("location: formreg.php?error=3");
  // no tiene mas de 4 caracteres
}else{
 
// ¿Coinciden las contraseñas? 
if($password!=$cpassword) { 
header("location: formreg.php?error=4");
}else{ 
 
// Comprobamos si el nombre de usuario o la cuenta de correo ya existían 
$checkuser = mysql_query("SELECT email FROM usu WHERE email='$correo'"); 
$email_exist = mysql_num_rows($checkuser); 
 
//encriptar contraseña
$password=md5($password);
 
if ($email_exist>0) { 
header("location: formreg.php?error=5"); 
}else{
 
//Todo parece correcto procedemos con la inserccion 
$query = "INSERT INTO usu (password, email, ip, fecha) VALUES('".mysql_real_escape_string($password)."','".mysql_real_escape_string($correo)."','$ip', NOW())"; 
$registro=mysql_query($query) or die(mysql_error()); 
$registro = "El usuario $correo ha sido registrado de manera satisfactoria.<br/>Esta parte de la página está en construcción.<br/><br/><a href=\"../../index.php\">Pulsa aquí para volver a la página principal.</a>";
 
/*Enviar email de bienvenida*/
$mailer = new Mailer; //instancia a la clase
$mailer->sendWelcome($correo, $password); //llama a la funcion
} 
} 
} 
} 
}
}
?>   

[Triby]

Antes de colocar cualquier dato de cadena o texto en una consulta debes escaparlo para evitar riesgos de inyeccion SQL:

musql_real_escape_string()

[rompeguesos]

Si el mysql_real_escape_string() lo he usado en el insert a la base de datos pero no se si asi esta ya todo el codigo bien protegido o le falta algo? y otra duda es: ¿Si no es un insert y la consulta es un select tambien hay que usar el mysql_real_escape_string()?

Saludos

[Triby]

SIEMPRE que vayas a introducir una cadena o texto en una consulta (query) debes escaparlos.

Consultas SQL = SELECT, INSERT, DELETE, UPDATE, etc. (incluido WHERE)

Esto te ayudara a evitar inyeccion de codigo por parte de usuarios malintencionados, pero tambien evitaras errores al introducir datos reales como McDonald's, el apostrofe (comilla sencilla) no causara problemas.

- Asegurate de que cada valor sea del tipo que corresponde al campo, es decir, si vas a incluir un dato numerico, sea realmente numerico.
- Cualquier valor debe estar dentro de los rangos permitidos por tus tablas (valor minimo/valor maximo para numeros y longitud minima/maxima para cadenas y textos).

[rompeguesos]

jejej muchisimas gracias por explicarme sobre el tema, referente al where seria mas o menos una cosa asi lo que deberia de hacer no?

Código PHP:

  // Comprobamos si el nombre de usuario o la cuenta de correo ya existían 
$checkuser = mysql_query("SELECT email FROM usu WHERE email='".mysql_real_escape_string($correo)."'");