SQL injection, er denne kode sikker?

Nej. Koden er ikke sikker.

$_GET[bruger] = mysql_real_escape_string($_GET[bruger]);
$select_auth = mysql_query("SELECT * FROM brugere WHERE brugernavn='$_GET[bruger]'");

Burde hjælpe på det :)

Nej. Det er den aldrig, når du putter _GET og _POST variabler direkte ind i SQL-udtryk, med mindre det er prepared statements.

$bruger = mysql_real_escape_string($_GET['bruger']);
$select_auth = mysql_query("SELECT * FROM brugere WHERE brugernavn=$bruger");
- Vil være det mindste du skal gøre.

Well, 40 sekunder for sent :P

Foresten er det ikke korrekt at skrive

$_GET[bruger]
Det burde være
$_GET['bruger']

Hvis du har sat din konfiguration til rapportere alle fejl (E_ALL), ville det give en warning/notice.

Hehe :)
Vi arbejder hurtigt her :)
Det var også al din forklaring :P :P

Hvis den ikke er sikker, hvordan vil man så kunne fks. DROP TABLE brugere?

Jeg mener ikke at man kan droppe table her, da mysql_query kun tager imod én statement.

Det er dog ikke en sikker måde du har gjort det på. Hvis en bruger f.eks skriver
'; DROP TABLE brugere;'
Ville det sådan her ud:
SELECT * FROM brugere WHERE brugernavn=''; DROP TABLE brugere;''

Jeg tror ikke det vil virke, fordi mysql_query som sagt vidst kun tager én query ad gangen. Han kan dog også skrive andet
' or PASSWORD = 'gætetkodeord'
SELECT * FROM brugere WHERE brugernavn='' or PASSWORD = 'gætetkodeordsomenellerandetbrugerhar'

Ok, tak for hjælpen, så får du point :)

I princippet er din kode rimelig sikker. Men hellere være helt sikker en ked af det "Better safe than sorry" :)

Hvis $_GET['bruger'] f.eks er:

' OR 1=1

;)

Det kunne man godt skrive, men det får man desværre ikke meget ud af. Jo, den selecter alle brugere, men bagefter i koden tjekker han også om kodeordet er det samme som den selectede bruger.
Det skulle vidst også have været ' OR '1=1

Men ja, hvorfor skulle man tænke så abstrakt, når man lige så godt bare kan sikre koden 100% mod injections med et enkelt funktionskald.

<ole>

Brug mysqli. Der skal rigtig gode grunde til at blive hængende i mysql i 2008 ... og de er ikke så lette at finde  ;o)

/mvh
</bole>

- tjek f.eks:
    http://dk.php.net/manual/en/mysqli.prepare.php