[PHP] bezpieczeństwo, mysql_real_escape_string Opcje

[peter13135]

czytałem conieco w manualu o mysql_real_escape_string (nawet po polsku jest opis:))
jednak jako początkujący webmasjter, niebardzo to rozumiem, więc mam pytanie
czy poniższy skrypt jest bezpieczny??

[PHP] pobierz, plaintext 
<?
//formularz
//łączenie z bazą
// jeśli wypełniono dane w formularzu
 
$login=$_POST['login'];
$haslo=$_POST['haslo'];
$login=mysql_real_escape_string($login);
$haslo = mysql_real_escape_string($haslo)
 
 
  {
   $sql=mysql_query("select * from userzy where login='$login' and haslo='$haslo' ");
   }
?>
[PHP] pobierz, plaintext 

cały ten kod jest pisany "z palca", chce sie tylko dowiedzieć czy takie filtrowanie zmiennych jest bezpieczne, czy to wogóle oto chodzi

edit:// jeszcze jedno
czy "sprintf" to jest to samo co mysql_query?

Powód edycji: Poprawiłem tytuł tematu. /webdicepl

[robos85]

A czy strip_tags" title="Zobacz w manualu PHP" target="_manual nie usuwa całkowicie znaków html? Jeżeli tak, to po co tam jeszcze htmlspecialchars" title="Zobacz w manualu PHP" target="_manual?
Bo z twego co wiem, to 2gie tylko zamienia na encje - a ja nie chcę wogóle mieć znaków html (IMG:http://forum.php.pl/style_emoticons/default/smile.gif)
Więc albo strip_tags albo htmlspecialchars dawać - moim zdaniem oczywiście;]