mysql + apostrof = katastrofa! Opcje

[shpyo]

witam,
czy moze mi ktos wytlumaczyc dlaczego jezeli ktos mi wpisal w formularzu do logowania login insteniejacego uzytkownika + apostrof ' i hash #, haslo byle jakie i zostal zalogowany do systemu !?

[PHP] pobierz, plaintext 
<?
$zalogowany = &#092;"SELECT * FROM adepci WHERE nick='$_POST[nick]' AND haslo='md5($_POST[passwd])' LIMIT 1\";
?>
[PHP] pobierz, plaintext 

mialem cos takiego jak wyzej, zmienna $_POST[nick] zaopatrzylem w addslashes i juz ten trik nie dziala.

Powie mi ktos dlaczego sie tak stalo? IMHO to moje zapytanie powinno z apostrofem zworcic false... lekko sie zalamalem (IMG:http://forum.php.pl/style_emoticons/default/sad.gif)

Ten post edytował shpyo 9.09.2004, 17:52:06