допустим, есть url такого вида:



по значению $_GET[q]  происходит выборка с базы



Вопрос: как правильно обработать переменную $_GET[q], что бы избежать разных неприятностей, в случае передачи в q каких то "левых" значений?

и второй вопрос, как правильно обработать $_GET[q], если его значение будет записываться в базу:

насчет вставки данных в SQL запрос.
Если у тебя используется низкоуровнеый доступ(при помощи функций mysql_*), то для экранирования надо использовать mysql_real_escape_string.
Если у тебя используется библиотека-прослойка-абстракция(навроде PDO или adodb_lite), то обычно существуют механизмы параметризации запросов:

в этом случае экранирование реализуется библиотекой.
насчет хранения данных. любые данные, будучи записанными в БД, хранятся там без проблем. Вопрос в другом: как ты собираешься потом использовать эти данные? Если эти данные представляют собой HTML-разметку из относительно доверенного источника(например, администратор сайта вбил новый шаблон, который надо вывести как HTML) - то просто выводишь. Если эти данные выводятся разным пользователям и получены из недостаточно доверенного источника(комментарий к новости от одного из пользователей сайта), то лучше экранировать HTML-код при помощи htmlspecialchars или обрабатывать при помощи strip_tags. В противном случае, один пользователь может испортить жизнь другим пользователям разными способами: вставляя в HTML-код своего сообщения ссылки на левые вредоносные javascript, перенаправления на другие сайты и т.д. А твоему сайту от этого ничего не будет. Это немного разные угрозы.

Добавлю, что для конкретного приведенного здесь случая mysql_real_escape_string не решит проблему. Если мы обрабатываем данные этой функцией, то их еще надо обрамлять в запросе кавычками. Иначе ее использование не принесет пользы. 
Надо, чтобы в итоге получилось


При использовании параметризации об этом думать не надо. 


ответ: точно так же. правила подстановки данных в запросы совершенно одинаковы и не зависят от типа запроса.

ребят, спасибо, на основе ваших подсказок давай рыться и нашел вот это: тут рассмотрено все, что связано с правильным составлением  запросов к БД.