Allgemein: Wie PHP&MySQL sicher machen?

[timon]

Hallo Timon

hallo,

was ist aber, wenn ich die daten so eintrage:

  
$pass = htmlspecialchars($_POST['passwort']);  
$query = mysql_db_query(***,"insert into user (  
passwort  
) values (  
'$pass'  
)");  

oder so abfrage:

  
$pass = htmlspecialchars($_POST['passwort']);  
$query = mysql_db_query(***,"select * from user where passwort = 'pass'");  

müsste der interpreter dann den string nicht unweigerlich als 1 string sehen? wo genau kann es da probleme geben? wie kann man sich da falsch einschleusen?