Пользователь
$username = $_GET['username']; // обеззараживаем $username // ... mysql_query("SELECT ALL FROM blablabla WHERE username = "{$username}");
Например, так:
Впрочем, это я уже придираюсь, наверное.
ОК, а если в get-параметре передаётся не число, а строка?
Чтобы его не мог найти и заменить обычный пользователь и ему пришлось бы обращаться ради этого в сервис-центр.
Хотя выглядит как громкий вброс. «Хочешь оказать услугу — создай проблему и реши её.»
(Блога раньше не видел.)
Из замеченных багов: похоже, счётчик лайков на vk.com работает для домена сайта, а не текущей страницы. Так и должно быть?