Anonym, нужно именно SELECT * FROM toys Where rubrik IN('Кубики', 'Машинки') LIMIT 0, 15 потому что $r имеет несколько значений

Чем не устраивает самый первый вариант?
[PHP]$query = "SELECT * FROM toys Where rubrik IN($r) LIMIT 0, 15"[/PHP]
Если в $r массив, что обычно и бывает, можно сделать так:
[PHP]$query = "SELECT * FROM toys Where rubrik IN(" . implode(',', $r) . ") LIMIT 0, 15"[/PHP]

[PHP]$sql = "SELECT * FROM toys Where rubrik IN({$r}) LIMIT 0, 15";[/PHP]


Ололо.

Если уж по-хорошему, перед этим необходимо писать
[PHP]
foreach($r as $k => $v) {
if(intval($v) === FALSE) {
unset($r[$k]);
}
}
[/PHP]
Или прочие вариации с array_filter/array_map/array_walk. Почему-то все про это обычно забывают. И уж точно не дай Бог выбирать значения по текстовому диапазону не являющимся допустимым значением типа enum/set - SQL Injection гарантирован.

Arks,
Можно подробнее? Немного не понял. Про инъекцию слышал, не понял про все остальное. Нельзя передавать текстовое значение что ли?

Допустим есть поле enum `enumFieldValues ` в котором допустимыми являются значения "val1", "val2" и "val3".
Вы с чистой совестью ожидаете увидеть такой запрос:

И Вы даже поставили кавычки при implode, т.е. написали [PHP]"'".implode("','",$r)."'";[/PHP]
А вместо этого смело получаете вот такой:

Чтобы не получать вот такой запрос Вы должны заранее знать, какие значения могут быть в данном поле типа enum и обязательно проверять что там не пытается в запросе вылезти какое-нибудь

Всякие addslashes и прочая хня типа mysql_real_escape_string конечно вариант, но они не являются 100% гарантией. При желании можно вообще долго извращаться над бедным автором кода, и таки уязвимость найдется. Не в кавычках так в чем-то другом, что называется было бы желание. Ну а я писал просто про то что многие даже их почему-то тупо забывают вставить. Так что по-сути единственным правильным 100% гарантии вариантом является только выборка по условию IN(<int>, <int>, ...) с предварительным intval'ом всех значений, и все равно обязательными кавычками в implode даже несмотря что поля int mysql сможет захавать и без кавычек. Вот в intval уже точно ничего кроме цифирок не влезет. По крайней мере я на это искренне надеюсь :goodpost:

что бы не загоняться такими вопросами начните вот от сюда.