[PHP] bezpieczeństwo, mysql_real_escape_string Opcje

[peter13135]

czytałem conieco w manualu o mysql_real_escape_string (nawet po polsku jest opis:))
jednak jako początkujący webmasjter, niebardzo to rozumiem, więc mam pytanie
czy poniższy skrypt jest bezpieczny??

[PHP] pobierz, plaintext 
<?
//formularz
//łączenie z bazą
// jeśli wypełniono dane w formularzu
 
$login=$_POST['login'];
$haslo=$_POST['haslo'];
$login=mysql_real_escape_string($login);
$haslo = mysql_real_escape_string($haslo)
 
 
  {
   $sql=mysql_query("select * from userzy where login='$login' and haslo='$haslo' ");
   }
?>
[PHP] pobierz, plaintext 

cały ten kod jest pisany "z palca", chce sie tylko dowiedzieć czy takie filtrowanie zmiennych jest bezpieczne, czy to wogóle oto chodzi

edit:// jeszcze jedno
czy "sprintf" to jest to samo co mysql_query?

Powód edycji: Poprawiłem tytuł tematu. /webdicepl

[peter13135]

dzięki za linka, ten artykuł rozjaśnił mi conieco sprawe
znalazłem tam takie coś

[PHP] pobierz, plaintext 
<?php
$zmienna = htmlspecialchars( strip_tags( $zmienna ), ENT_QUOTES, 'UTF-8' );
?>
[PHP] pobierz, plaintext 

problem w tym że mam strone na iso-8859-2 , więc ten kod ma wyglądać w ten sposób??

[PHP] pobierz, plaintext 
<?php
$zmienna = htmlspecialchars( strip_tags( $zmienna ), ENT_QUOTES, 'iso-8859-2');
?>
[PHP] pobierz, plaintext 

czy może wstarczy napisać poprostu takie coś(IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

[PHP] pobierz, plaintext 
<?php
$zmienna = htmlspecialchars( strip_tags( $zmienna ), ENT_QUOTES, 'iso');
?>
[PHP] pobierz, plaintext 

i czy takie coś uchroni mnie zarówno przed html jak i xss?