Fublin, ну выше хоть сто раз обрабатывать можно, в запрос то чистый GET вписан) нужно mysql_real_escape_string() обработать