SQL, validações e PHP

<?php
/* 
    sanitizar:
    Esta função realiza :
            - remove espaços no começo e fim do parâmetro
        - remove os caracteres *?--%'&#@"/,;
        - remoção de acentos, torna tudo minúsculo, preserva apenas: letras, números, .:-_

 */

function sanitizar($parametro=false)
{
    $parametro=stripslashes(trim($parametro)); 
    $parametro=str_replace(array("*","?", "--", "%", "'", "&", "#", "@", "\"", "/", ",", ";"),
 "", $parametro);
    $parametro=strtolower(preg_replace('/[^[:alnum:]|_|.|:|-]/', " ",strtr($parametro,
 "áàãâéêíóôõúüçÁÀÃÂÉÊÍÓÔÕÚÜÇ-:","aaaaeeiooouucAAAAEEIOOOUUC-:")));
    return $parametro;
} 

/* 
    anti_sql:
    Esta função realiza :
            - remove caracteres e palavras reservadas de SQL.

            Obs: esta idéia foi retirada de um fórum de discussão.

 */

function anti_sql($varivel)
{
    $varivel = preg_replace("/(from|union select|select|insert|delete|
where|drop table|show tables|#|\*|--|;|=|@|\\\\)/i","",$varivel);
    $varivel = trim($varivel);
    return $varivel;
}


    /*
    Para evitar XSS, ao exibir valores recuperados na tela, utilize a função nativa htmlentities
    exemplo:
    */

    $str="não encontrei o valor";
    echo $str."<br />";
    $str="não encontrei o valor <img src='uma_imagem_nao autorizada.png' />";
    echo $str."<br />";
    echo htmlentities($str)."<br />";


    /* Inserir valor de campos numericos não tratados sempre oferecem risco de SQL Injection
            devido a não utilização da aspa na composição da query 

            ex: SELECT titulo,mensagem FROM noticia WHERE noticia_id=234;

            já em campos text/string a SQL Injection torna-se dificultada pela existência da aspa

            ex: SELECT titulo,mensagem FROM noticia WHERE noticia_titulo='Meu titulo';

            porém pode ser contornada, se o interpretador  não estiver habilitado para escapar aspas

            logo seguem algumas forma de evitar a SQL Injection:
            */

            //campo numérico:

            /* ---- ERRADO: ---- */

            $numero = $_GET['numero'];

            $sql= "SELECT titulo,mensagem FROM noticia WHERE noticia_id=".$numero;

            /* ---- Fazer: ---- */

            $numero = (int) $_GET['numero'];
            //ou
            $numero = intval($_GET['numero']);

            $sql= "SELECT titulo,mensagem FROM noticia WHERE noticia_id=".$numero;

            /*   ou  então pode-se usar o sprintf */


            $sql= sprintf( "SELECT titulo,mensagem FROM noticia WHERE noticia_id = %u",$numero);

            /*   inclusive para casos compostos */

            $numero=22;
            $titulo='Minha noticia';
            $sql= sprintf( "SELECT titulo,mensagem FROM noticia WHERE noticia_id = %u OR titulo = '%s'",$numero, $titulo);

            /* a SQL Injection no meio da string irá exigir a entrada de uma aspa 

            Ex:
             "SELECT titulo,mensagem FROM noticia WHERE titulo = 'Meu Teste'

             SQL Injection:
                 "SELECT titulo,mensagem FROM noticia WHERE titulo = 'Meu Teste' OR 1=1 --'

                 a entrada deverá ser:  Meu Teste' OR 1=1 --

                 para resolver esta entrada, usar as funções pertinente conforme o banco de dados 

            Ex:

            pg_escape_string
            pg_escape_bytea
            dbx_escape_string
            db2_escape_string
            maxdb_escape_string
            mysql_escape_string
            sqlite_escape_string
            mysqli_escape_string
            ingres_escape_string
            maxdb_real_escape_string
            mysql_real_escape_string

            */
            $titulo = @pg_escape_string($_POST['titulo']);

            /* o 'arroba' à frente da função é usado para evitar warning oyu fatal error  */

            $sql="SELECT titulo,mensagem FROM noticia WHERE titulo = '".$titulo."'";

            /* 
                    o uso das funções de preparação de query também é recomendado 
                    pois faz o trabalho de escapar e validar dados antes da execução

                    ex: 
                            pg_prepare
                            mysqli_stmt_prepare
                            ingres_prepare
                            pg_send_prepare
                            ovrimos_prepare
                            maxdb_stmt_prepare
                            db2_prepare
                            ifx_prepare
                            odbc_prepare
                            maxdb_prepare
                            swish_prepare
                            ibase_prepare
                            sdo_das_relational_executepreparedquery



                    exemplo retirado de:

                    http://br2.php.net/manual/pt_BR/function.pg-prepare.php

                    $dbconn = pg_connect("dbname=mary");

                    $result = pg_prepare($dbconn, "my_query", 'SELECT * FROM shops WHERE name = $1');

                    //---> Execute the prepared query.  Note that it is not necessary
                                                to escape the string "Joe's Widgets" in any way:


                    $result = pg_execute($dbconn, "my_query", array("Joe's Widgets"));

                    //---> Execute the same prepared query, this time with a different parameter:

                    $result = pg_execute($dbconn, "my_query", array("Clothes Clothes Clothes"));

            */


            /* 

                    alguns padrões podem ser verificados com o uso de expressões regulares 

                    seguem exemplos para uma máscare de telefone e uma máscara de CPF 
                    - mas sem validação dos dados, apenas do padrão.



                    */


    /*verdadeiro se o parâmetro for algo como (99)9999-9999 */

            function checar_padrao_telefonico($valor=false)
    {
            return preg_match('/^\([0-9]{2}\)[0-9]{4}-[0-9]{4}$/',$valor)?true:false;
    }

    /*verdadeiro se o parâmetro for algo como 999.999.999-99 */

    function checar_padrao_cpf($valor=false)
    {
            return preg_match('/^([0-9]{3}\.){2}[0-9]{3}-[0-9]{2}$/',$valor)?true:false;
    }


?>