PHP OO como evitar inyeccion sql

[ILuzbel]

Hola a todos tengo un login en el cual si meto como user:
' OR '' = '
y una password que tenga uno de mis usuarios puedo acceder como ese usuario.

este es el codigo de la consulta del logueo:

Código PHP:

          public function login(){
        
        //Definimos las variables
        $nick = $_POST["nick"];
        $pass_js = $_POST["pass"];
        $pass_php = md5($_POST["pass"]);
        
        //Selecionamos la tabla usuarios
        $sql="SELECT * FROM users WHERE nick='$nick' AND pass_js='$pass_js' AND pass_php='$pass_php' AND status='active'";
        $res=mysql_query($sql,Connect::con());
        
        if(mysql_num_rows($res)==0){
            echo "<script type='text/javascript'>alert('Los datos no existen'); window.location='index.php';</script>";
        }else{
            if($reg=mysql_fetch_array($res)){
                $_SESSION["usuario"]=$reg["id_user"];
                header("Location: ./home.php");
            }
        }
    } 
   

Alguien sabe como evitar que suceda esto?

[pateketrueke]

Debes escapar siempre tus cadenas, lee el siguiente tema:
http://www.forosdelweb.com/f18/escap...idades-963010/

[ILuzbel]

Iniciado por pateketrueke

Debes escapar siempre tus cadenas, lee el siguiente tema:
[url]http://www.forosdelweb.com/f18/escapar-filltrar-entidades-963010/[/url]

Muchas gracias +1 , lo he resuelto de este modo:

Código PHP:

  if (get_magic_quotes_gpc()!=1)
$nick=addslashes($_POST["nick"]); 
   

Saludos