Czy takie zabezpieczenia są wystarczające ? Opcje

[sheriff]

Jako iż to mój pierwszy post, witam wszystkich serdecznie (IMG:style_emoticons/default/smile.gif)

Napisałem prosty skrypt do rejestracji użytkownika. Chcę się dowiedzieć jakie błędy popełniłem i czy takie zabezpieczenia są wystarczające.
Z góry dziękuję (IMG:style_emoticons/default/winksmiley.jpg)

[PHP] pobierz, plaintext 
<?php
$error = ' ';
$fail = 0;
 
if (!isset($_POST['login'])){
 echo '
 <form method="post" action="register.php">
   <input type="text" name="login" /><br><br>
   <input type="password" name="password"/><br>
   <input type="password" name="rpassword"/><br><br>
   <input type="submit" value="Gotowe"/>
  </form>
 ';
$fail = 1; 
}
else{
$login = $_POST['login'];
$pass = $_POST['password'];
$rpass = $_POST['rpassword'];
$passmd5 = md5($pass);
mysql_connect('localhost', 'root', 'krasnal') or die('MySql fatal error.');
mysql_select_db('sheriffengine') or die('MySql fatal error.');
 
  if (strlen($login) < 4)$error .= '<br>- login musi składać się z conajmniej 5 znaków';
 
  if (strlen($pass) < 5)$error .= '<br>- hasło musi składać się z conajmniej 6 znaków';     
 
  if ($pass !== $rpass)$error .= '<br>- podane hasła muszą być takie same';
 
 
  if (preg_match("/[^A-z0-9_-]/", $login)==1)$error .= '<br>- login  może składać się wyłącznie z liter i cyfr';
 
 
  if (preg_match("/[^A-z0-9_-]/", $pass)==1 || preg_match("/[^A-z0-9_-]/", $rpass)==1 )$error .= '<br>- hasło  może składać się wyłącznie z liter i cyfr';
 
  if(mysql_num_rows(mysql_query("select * from users where user_login='".htmlspecialchars($login."'")))) $error .= '- użytkownik o podanym loginie istnieje, wybierz inny login';
 
 if ($error !== ' '){
   echo '<br>Rejestracja się nie powiodła. Zastosuj się do poniższych wskazówek:';
   $fail = 1;
    }
 
echo $error;
 
}
 
if ($fail == 0){
	mysql_query("insert into users values(NULL, '".htmlspecialchars($login)."', '".$passmd5."')"); 
  echo 'Witaj '.$login.'! Rejestracja przebiegła pomyślnie.';
}
 
?>
 
[PHP] pobierz, plaintext 

[tehaha]

- przede wszystkim wszelkie dane otrzymane od użytkownika i użyte w zapytaniu wkładaj do mysql_real_escape_string()
- nie wiem po co używasz htmlspecialchars() skoro chcesz zezwalać tylko na litery i cyfry..może sprawdź najpierw w manualu co robi ta funkcja
- czy to preg_match() na pewno działa? bo coś mi nie gra w tych wzorcach