Квотирование и экранирование переменных

[Sserg-135]

Подскажите, в целях предотвращения SQL инъекций, достаточно ли для числовых переменных только принудительного преобразования к числовому типу функцией settype($xxx,'integer') или также как и к текстовым переменным применять mysql_real_escape_string, add_slashes и тому подобное?

И достаточно ли на взгляд опытных программеров только такой защиты:

function quote_smart($value)
{
    // если magic_quotes_gpc включена - используем stripslashes
    if (get_magic_quotes_gpc()) {
        $value = stripslashes($value);
    }
    // Если переменная - число, то экранировать её не нужно
    // если нет - то окружем её кавычками, и экранируем
    if (!is_numeric($value)) {
        $value = "'" . mysql_real_escape_string($value) . "'";
    }
    return $value;
}

(Функция взята из одного из описания ПХП ) или лучше еще принудительно изымать все словосочетания похожие на служебные слова (типа SELECT, DELET итд).

Edited September 9, 2008 by Sserg-135

[stalker_2000]

будет вполне достаточно

$value = (int)$_REQUEST['value'];

Если что-то не так $value будет равно нулю