Evitar Sql Injection php

Crear función:

function mysql_fix_string($string)
{
if(get_magic_quotes_gpc())
$string = stripslashes($string);
return mysql_real_escape_string($string);
}

Utilizar función:


$usuario= mysql_fix_string($_POST[usuario]);
$pasword= mysql_fix_string($_POST[password]);

Otra opción con parámetros:

PREPARE statement FROM "INSERT INTO usuarios VALUES(?,?)";

SET @usuario ="test",
         @password="123";

EXECUTE statement USING @usuario,@password;

DEALLOCATE PREPARE statement;