Filtro para Evitar XSS ayuda

[xosgon]

Ahora si lo comprendo, ahora tengo 2 dudas:

1º. Esto debo hacerlo en todas las paginas que requieran un login, o simplemente en todos los formularios con una celda en la que se pueda escribir.

2º. Con esos parametros exactamente que conseguimos evitar.

3º. La estructura de las consultas que hago a la db es la siguiente:
$sql="SELECT usuario, password FROM gral_usuarios_admin WHERE usuario = '$login_usuario' AND password = '$password_usuario'";

He visto que dicen por los foros, que es importante que en estas consultas se definan comillas, mi pregunta es, mi forma de hacer la consulta es correcta o debo añadirle algo.

Muchas Gracias,

Lo que no comprendo tampoco es a que se corresponde $usuariao y $password, pues no los uso en ningun otro lado que no sea en donde tu los defines.

Es decir quedaria asi...?

Código PHP:

<?
$id_sitio = 1;
include (".........");
 
/*if ((session_is_registered("password_admin_session")) && (session_is_registered("usuario_admin_session"))){
    header("Location: menu.php");
}*/
 
if($procesa == "si"){
    $todo_ok = 0;
    $usuario = mysql_real_escape_string($_POST['usuario']);
    $password = mysql_real_escape_string($_POST['password']);
    //$login_usuario=$HTTP_POST_VARS["login_usuario"];
    //$password_usuario=$HTTP_POST_VARS["password_usuario"];
    //echo "Login:'$login_usuario'";
    //echo "Password:'$password_usuario'";
    $sql="SELECT usuario, password FROM gral_usuarios_admin WHERE usuario = '$login_usuario' AND password = '$password_usuario'";
    //echo $sql;
    $result = mysql_query($sql);
    //$row_usuario = mysql_fetch_array($result);
    //echo $row_usuario['usuario'];
 
    if($row_usuario = mysql_fetch_array($result)){
        //session_unregister();
        session_register("usuario_admin_session");
        session_register("password_admin_session");
        $usuario_admin_session = $row_usuario["usuario"];
        $password_admin_session = $row_usuario["password"];
        //echo "Entro: ".$usuario_admin_session." ".$password_admin_session;
        //header("Location: menu.php");
        include("mail_accesos.php");
        echo ($row_usuario['usuario'])? "<script>top.location.href='./menu.php';</script>":"<script>top.location.href='./index.php';</script>";
        //echo ($row_usuario['u']);
    }
    
    
}
?>