Mejorar la seguridad de inyecciones SQL a sistema de registro

[webankenovi]

no podra ingresar nada que no sea alfanumerico solo letras y numeros , tambien a la hora del registro deberas verificar lo mismo que sea alfanumerico y avisar que solo puede contener useranme y password letras y numeros , si deseas que puedan insertar otros caracteres deberas verificarlo.

te lo he tocado un poco a ver que te parece

Código PHP:

<?php
    session_start();
    require_once('config.php');
 
    if(isset($_POST['ingresar']) and isset($_POST['username'] and isset($_POST['password']))
    {
        if(ctype_alnum($_POST['username']) and ctype_alnum($_POST['password']))
        {
            $username = mysqli_real_escape_string($_POST['username']); // no tendria mucho efecto pero aun asi lo dejo
            $password = mysqli_real_escape_string($_POST['password']); // no tendria mucho efecto pero aun asi lo dejo
            
            $query    = mysqli_query($conexion,"SELECT * FROM usuarios WHERE nick='".$username."' and pass='".$password."'");
     
            if(mysqli_num_rows($query) > 0)
            {
     
                $datos = mysqli_fetch_assoc($query);
                $_SESSION['nivel'] = $datos['nivel'];
                $_SESSION['usuario'] = $datos['nick'];
                echo '<script language="JavaScript">window.location.href = "index.php";</script>';
            }
            else
            {
                echo 'Usuario y contraseña incorrectos';
                echo '<script language="JavaScript">window.location.href = "index.html";</script>';
            }
        }
        else
        {
        echo 'Ingresa un usuario y contraseña validos';
       
        }
    }
     
    ?>
 

ahora solo te faltaria hasear las pass y en el registro especificar que sea mayor de 10 caracteres para aumentar la seguridad de la contraseña , y preparar la consulta y yo creo que estaria muy seguro

respecto a .htaccess y directorios , yo no se tu estructura pero a lo que se refiere es a una estructura mas o menos asi

index.php
dir / sistema
dir/ public

restringimos el acceso a sistema y a todos sus directorios que no sean accesible desde la url , en sistema tendriamos todos los scripts controladores ,clases funciones etc....y en public todo el contenido publico , asi separamos el sistema de la aplicacion, y la aplicacion se conecta con el sistema para usar sus funciones