[MSSQL][PHP]Przekazanie zmiennej do zapytania SQL Opcje

[eurosoft]

Witam,
jakiś czas nic nie pisałem bo jakoś nie trafiałem na problemy, ale teraz mam następujący:
Mam panel logowania - stardard Login oraz Hasło, po zalogowaniu zostaje user przekierowany na właściwą stronę php, tam wykonuje się zapytanie sql i pojawia się tablica z danymi. W tejże tablicy jest pole nr_obw ('1' lub '2'), chciałbym aby podczas logowania user poprzez wybór pola radio został przekierowany do właściwej strony gdzie zostanie wykonane zapytanie z warunkiem nr_obw=1.
na dzień dzisijeszy mam taki formularz w pliku z logowaniem:

[PHP] pobierz, plaintext 
<form name="logowanie" form action="logowanie.php" method="post">
<input type="hidden" name="wyslane" value="TRUE" />
<p>Login: <input type="text" name="login" value="" title="Podaj swój LOGIN"/></p>
<p>Hasło: <input type="password" name="haslo" title="Podaj swoje HASŁO"/></p>
	 <p>Wybierz Nr Obwodu:<br>
	 <input type="radio" name="nr_obw[]" value="1" />1
	 <input type="radio" name="nr_obw[]" value="2" />2
<p><input type="submit" value="Zaloguj" /></p>
[PHP] pobierz, plaintext 

oraz zapytanie w pliku pokazującym tabelę:

[SQL] pobierz, plaintext 
$sql1 = "SELECT 
  $tabela.id_book, 
  $tabela.imie_nazwisko, 
  $tabela.start_pol, 
  $tabela1.animals, 
  $tabela1.animals1, 
  $tabela1.animals2, 
  $tabela1.ilosc, 
  $tabela1.ilosc1, 
  $tabela1.ilosc2, 
  $tabela1.ilosc_shot, 
  $tabela1.login 
  FROM $tabela LEFT JOIN shot ON $tabela.id_book=$tabela1.id_book where nr_obw='{$_POST['nr_obw']}' AND $tabela.id_book>$from";
  $result1 = mysql_query($sql1) OR die('Queryproblem: '.mysql_error());
[SQL] pobierz, plaintext 

Prosze o pomoc.

[grzemach]

podejrzewam, że będzie kilka rozwiązań Twojego problemu. Co zaproponuję, nie koniecznie jest najlepszym z nich (IMG:style_emoticons/default/smile.gif)

Podejrzewam, że wartość z _POST['nr_obw'] będzie Ci jeszcze potrzebna w kilku miejscach?

Dodaj w opcjach logowania, jeśli jest poprawne, przed przekierowaniem na stronę (bo rozumiem, ze jest tam header("location: ...." ) ):

Kod

$_SESSION['nr_obw'] = $_POST['nr_obw'] +0;

+0, abyś miał pewność że jest tam wartość numeryczna. (poszukaj o sql incjection)

teraz zapytanie SQL:

Kod

FROM $tabela LEFT JOIN shot ON $tabela.id_book=$tabela1.id_book where nr_obw='{$_SESSION['nr_obw']}' AND $tabela.id_book>$from";