Если вы используете базу данных, будьте очень осторожны с учебниками PHP в Интернете. У большинства из них есть ужасный пример кода, который никогда не должен использоваться (большинство рассматривает sql инъекции как проблему, которая случается с кем-то еще).
Если вы выбрали MySql, я бы порекомендовал вам не использовать расширение php mysql (т.е. не использовать функции, которые запускают mysql_
). Используйте расширения mysqli или pdo . Это делает код более надежным и при правильном использовании автоматически удаляет ввод, который может вызвать SQL-инъекцию.
По моему мнению, вы ДОЛЖНЫ понимать, что это инъекции sql, если вы когда-либо что-то делаете с базами данных, независимо от того, какую базу данных вы в конечном итоге используете. Использование рекомендованных мною расширений php должно помочь предотвратить их, но это не заменит понимание того, почему нельзя объединять контролируемые пользователем значения непосредственно в запрос sql.