SQL инъекция

[CAJIO]

Ошибка:
$login = $_POST['user'];
$postPass=$_POST['password'];

Фикс:
$login=mysql_real_escape_string($_POST['user']);
$postPass=mysql_real_escape_string($_POST['password']);

[CAJIO]

и это ещё не вся sql инъекция...

Желательно добавить это, иначе совсем плохо...

if (!preg_match("/^[a-zA-Z0-9_-]+$/", $login) || !preg_match("/^[a-zA-Z0-9_-]+$|<|>|?|:/", $postPass)) {
echo "Неверные символы";
exit;
}