Безопасность

Во-первых, если хочешь учесть то, что на сервере возможно включены magic_quotes_gpc, то делаешь это не в той последовательности. Сперва нужно проверить и сделать stripslashes при необходимости, а потом уже делать mysql_real_escape_string().
Во-вторых, чтобы не повторять этот фрагмент кода для каждого параметра запроса - можно, например, написать функцию, которая будет это делать:

Код (PHP):

1. <?php
2. function myEscape($str = '') {
3.     if(get_magic_quotes_gpc())
4.         $str = stripslashes($str);
5.     return(mysql_real_escape_string($str));
6. }
7. ?>

и потом просто ей всё эскейпить:

Код (PHP):

1. <?php
2. // ...
3. $login = myEscape($_POST['login']);
4. // ...
5. ?>

В-третьих, через htmlspecialchars() обычно пропускают не при записи в б.д., а при выводе из б.д. в браузер. В принципе, это не принципиально я думаю, но обычно так делают - типа чтобы в б.д. хранились оригинальные данные, какими их ввёл пользователь.
В-четвёртых, проверку на допустимые в логине символы (a-zA-Z0-9_.-) - это на мой (и не только мой) взгляд лишнее. Мне кажется, пусть пользователи называют себя как им нравится. Хотят русскими буквами - ну и пусть русскими пишут, какя разница? Но это дело твоё, конечно. Для безопасности роли не играет по идее.
В-пятых, после того, как делаешь переадресацию header Location - нужно учитывать, что отправив этот заголовок скрипт будет выполняться дальше. Да, в браузере страница не отобразится, но скрипт отработает до конца и выполнятся все инструкции, которые там дальше идут. Например, что-то может добавиться в б.д., если там есть вставка данных. Для php команда header('Location: index.html'); - это как и любая другая обычная команда, тот же echo(), например. Он выполнит её (отправит заголовок браузеру) и продолжит дальше выполнять следующие команды. Если ты хочешь, чтобы после отправки заголовка на переадресацию дальше скрипт не выполнялся - нужно после header ставить exit;

Код (PHP):

1.       if(!preg_match("/^[a-zA-Z0-9_\.\-]$/",$pass))
2.       {
3.          header("Location: index.html");
4.          exit;
5.       } 

В-шестых, тримить (trim()) пароль я лично бы не стал - может пользователь хочет, чтобы его пароль начинался с пробела? Ну и пусть начинается с пробела. Зато в б.д. принято писать хэш пароля, а не в чистом виде. Впрочем, это скорее всего, тоже мелочи и не принципиально, но обычно делают так. Причём как правило не просто стандартный хэш типа md5, а что-то вроде хэш от хэша с солью Ну как-то так, например:

Код (PHP):

1. $salt = 'Это соль :-)';
2. $pass = md5(md5($_POST['pass']) . $salt); 

В-седьмых, вот это вот:

Код (PHP):

1. or die("Ошибка в запросе: " . mysql_error()); 

на рабочем сайте в интернете - вообще ни к чему. Это нужно на период разработки и отладки скрипта. Когда скрипт готов и выложен в интернет - в нём не должно быть такого. Я знаю две причины: одна из них - это то, что это просто какая-то лишняя, пугающая и не понятная пользователям информация, которая к тому же никак не оформлена, а просто сверху появятся чёрные буквы на белом фоне. Пользователю это уж точно не надо Во вторых, это может здорово облегчить жизнь потенциальным взломщикам твоего сайта. Особенно вместе вот с этим:

Код (PHP):

1.          echo "ошибка - ".mysql_error()."<br>";
2.          echo $sql;
3.          exit(); 

Увидев текст получившегося запроса и сообщение об ошибке, подобрать заветную фразу чтобы всё поломалось окончательно будет легче

Добавлено спустя 14 минут 59 секунд:
Я обычно пишу свою функцию, которая вызывается, если запрос не прошёл, и передаю ей три аргумента: текст запроса, текст сообщения об ошибке и третьим параметром - нужно ли останавливать работу скрипта:

Код (PHP):

1. function db_error($sql = '', $err = '', $stop = false) {
2.     if(Config::$debug_mode) {
3.         // Режим отладки. Вываливаем сообщение об ошибке запроса на экран
4.     } else {
5.         // Рабочий режим.
6.         // Здесь мы записываем информацию о произошедшей ошибке в лог
7.         // И проверяем, нужно ли останавливать выполнение скрипта
8.         if($stop) {
9.             require('site_error.html');
10.             exit;
11.         }
12.     }
13. } 

Соответственно, вызываться может так:

Код (PHP):

1. $sql = "SELECT * FROM `users`";
2. $res = mysql_query($sql, $db) or db_error($sql, mysql_error($db), true); 

В данном случае я посчитал, что это был важный запрос, без которого дальнейшее выполнение скрипта бессмысленно. Поэтому я передаю третьим параметром true - чтобы функция вывела на экран содержимое файла site_error.html и остановила выполнение скрипта. В файле site_error.html может храниться какая-нить оформленная и задизайненная страничка с сообщением о том, что на сайте что-то произошло. Там могут быть какие-то полезные ссылки - например, перейти на главную, вернуться назад или отправить письмо админу сайта.

Добавлено спустя 3 минуты 47 секунд:
UPD!
Блин, правку отключили
В общем я там в функции db_error() не правильно написал. Надо было так:
function db_error($sql = '', $err = '', $stop = false) {
if(Config::$debug_mode) {
// Режим отладки. Вываливаем сообщение об ошибке запроса на экран
} else {
// Рабочий режим.
// Здесь мы записываем информацию о произошедшей ошибке в лог
// И проверяем, нужно ли останавливать выполнение скрипта
if($stop) {
require('site_error.html');
}
}
if($stop)
exit;
}

Добавлено спустя 1 минуту 47 секунд:

И опять блин, правку отключили ))

Код (PHP):

1. function db_error($sql = '', $err = '', $stop = false) {
2.     if(Config::$debug_mode) {
3.         // Режим отладки. Вываливаем сообщение об ошибке запроса на экран
4.     } else {
5.         // Рабочий режим.
6.         // Здесь мы записываем информацию о произошедшей ошибке в лог
7.         // И проверяем, нужно ли останавливать выполнение скрипта
8.         if($stop) {
9.             require('site_error.html');
10.         }
11.     }
12.     if($stop)
13.         exit;
14. } 

Добавлено спустя 3 минуты 38 секунд:
А по поводу твоей ошибки

- это говорит о том, что где-то уже начат вывод страницы, а ты пытаешься отправить заголовок. Например, такое может быть, если файл со скриптом сохранён в кодировке UTF-8 с BOM (надо сохранить в UTF-8 без BOM). Также такое может выскочить, если где-то перед <?php есть какой-нибудь символ, который ты не заметил - достаточно одного пробела.

 

Код (PHP):

1. public static function injects($injects,$bool=false) {
2.         if(self::$mysqli && !$bool) {
3.             return mysqli_real_escape_string(self::$mysqli,$injects);
4.         } else if(version_compare(PHP_VERSION,'5.3.0','<')) {
5.             return get_magic_quotes_gpc()?$injects:addslashes($injects);
6.         } else {
7.             return addslashes($injects);
8.         }
9.     return false;
10.     } 

Ну еще можно таким путем пойти.

 

http://ru.wikipedia.org/wiki/BOM
В общем это такой спецсимвол, который текстовый редактор поставит самым-самым первым в файле, он-то и начнёт отправку основного содержимого ответа ещё до того, как ты заголовки пытаешься отправить.

 

sobachnik
Спасибо за ответ. Почитал твою статью и много узнал нового. +1 к твоей карме.))