>>723
> include "/virtual/nyahi/db_connect.php";//DBに接続
DBへの接続は入力値があった場合だけでいいのでは。

> if(ereg("'",$hoge) ){//シングルクオーテーションはDBに接続させない
> die("'←これは嫌い。");
> }
普通、mysql_escape_string等でエスケープした上でそのままSQL文に渡すとこだと思う。
まぁ、IDとパスでそんな文字はありえない、ってことならいきなり終了でもいいけど。
あと変数名の間違いについてはスルーでいいんだよね？

> while($rec = mysql_fetch_array($rs,MYSQL_ASSOC) ){
> $ok = 1;//whileループに入ったことで取得を確認
1回しか取得する必要がないものをあえてwhileで回す必要はないんでは。
if($rec = mysql〜) でいいんじゃないの？
まぁ、大して変わんないけど。

> if(!isset($ok) ){
issetじゃなくif($ok)で真か偽か見るようにして、最初に$okは$ok=0;で初期化するようにした方がいい。
register_globalsがOFFだから汚染されるはずがない、という思い込みはミスしたときが危険。
つか、fetchをwhileでなくifにしちゃえば、こんなフラグ判定は要らないと思うけど。