Arkadaşlar PDO ile bir çalışma yapıyorum. ama güvenlik konsunda nasıl bir eksikğim var yardımcı olabilirmsiniz.

Kodlarım genelde böyle özel sayfa yapıları oluşturdum. şimdilik .php?id=1 şeklinde kullanıyorum. ama tabi çalışmam bittiğinde bu işlemi kaldırıp htacces üzerinden yapacam işlemi.

güvenlik açığım nedir ?

Kod 
Yığını:
prepare("select * from ogrenci where ogrencimail=:ogrencimail");
$kullanicisor->execute(array(
  'ogrencimail' => $_SESSION['ogrencimail']
  ));


$say=$kullanicisor->rowCount();


if ($say==0) {
 
 header("Location:giris.php?durum=izinsiz");
 exit;
}






$kullanicicek=$kullanicisor->fetch(PDO::FETCH_ASSOC);






 ?>
  prepare("SELECT * FROM forum WHERE id=:id"); 
    $sorgu ->execute(array(":id" => $id));
    $forum=$sorgu-> fetch(PDO::FETCH_ASSOC); 
    


 
  ?>


 prepare("INSERT INTO forumcevap set yazi=?, gonderen=?, konu=?,  tarih=?"); 
    $ekle ->execute(array($yazi, $gonderen, $konu, $tarih));




      header('Location: index.php');




    } 




  








?>
 

  
  

    



      

        
Karakutu
        
Forum
        
echo $forum["baslik"]; ?>
      
      

        

          

          
          
 | 
        
        

          comment
        
      
                        prepare("SELECT * FROM forumcevap WHERE konu='".$forum['id']."'  ");   
 $sorgu ->execute(array(":konu" =>$forum['id']));
    $cevaplar=$sorgu-> fetchAll(PDO::FETCH_OBJ); ?>


  
             
           
              
      

        

          
        
        

          

            

              

                gonderen?>
                tarih?>
              
              

                "yazi?>"
              
          
            
          
        
      
           
      

        

          
Yanıt ver
         

            

                

                 
                  
                
              
                Gönder
              
        
        
      


    
  


  
  


  
  
  




  
  


  
  


  
  


  
  

Pek uzman sayılmam. Benim görebildiklerim

1- Form kontrolü yok.

2- Formdan gelen verilerde Html ve javascript kodlarına karşı önlem almamışın.