Forum PHP.pl

1. Dane z formularza wkładasz prosto do zapytania - SQL Injection.
2. Nie sprawdzasz czy formularz został wysłany. Powinno wysypać Ci błędami o 'undefined variable' po wejściu na stronę, ale pewnie masz wyłączone raportowanie błędów.
3. Staraj się oddzielać HTML od PHP.

Na szybko napisałem jak to powinno wyglądać z wykorzystaniem PDO (mysql jest przestarzałe a PDO zapewnia bezpieczeństwo)

[PHP] pobierz, plaintext 
<?PHP if(!isset($_SESSION['logged'])): ?>
<form action="" method="post">
	<legend>Logowanie</legend>
	<label for="login">Login</label>
	<input type="text" name="login"><br>
	<label for="password">Hasło</label>
	<input type="password" name="password"><br>
	<input type="submit" value="Zaloguj">
</form>
<?PHP endif; ?>
<?php
$db = new PDO('mysql:host=localhost;dbname=db', 'user', 'pass', array(PDO::MYSQL_ATTR_INIT_COMMAND => "SET NAMES 'utf8'")) or die();
if(isset($_POST['login'])){
	$stmt = $db->prepare("SELECT * FROM users WHERE login=:login AND password=:password");
	$stmt->bindValue(':login', $_POST['login'], PDO::PARAM_STR);
	$stmt->bindValue(':password', $_POST['password'], PDO::PARAM_STR);
	$stmt->execute();
	if($stmt->rowCount()==1){
		//logowanie udane
		$_SESSION['logged'] = true;
		$_SESSION['login'] = $login; 
	}
	else{
		//zły login bądź hasło
	}
}
?>
[PHP] pobierz, plaintext