好糗的問題 ... SQL injection

http://tw.knowledge.yahoo.com/question/question?qid=1507020512715
幫人寫個簡單的留言板，後來一直加加加加到會員登入

寫太快卻忘了登入最基本的檢查

$_POST[password]=htmlspecialchars($_POST[password],ENT_QUOTES);

$_POST[username]=htmlspecialchars($_POST[username],ENT_QUOTES);

不知道這樣對不對 ~_~ 唉唉