Anti sql injection per passaggio variabile testo

[fabioski]

Anti sql injection per passaggio variabile testo

Per passare una variabile da cui ricavo delle informazioni da un database mysql uso l'indirizzo del sito ed il mod rewrite.

Volevo sapere se questo mio controllo per far passare una variabile che al più contiene test, numeri ed il trattino "-" è sufficiente.

//estraggo tagsurl da mod rewrite
$tags_tagurl = $_GET[tags_tagurl];
// rendo sicuro il tagurl
if (preg_match("/^[a-z0-9\-]{0,}$/", $tags_tagurl)) 
{eseguo...

Mi funziona per tutte le prove che ho fatto tranne per il carattere & che mi "taglia" la variabile dove lui è posizionato.

Secondo voi è del tutto sufficiente tale controllo?