Mire kell figyelni űrlapoknál biztonság szempontjából?

Olvastam róla sokat, de kíváncsi vagyok a véleményetekre, biztosan tudtok újat mondani.

Az, hogy mondjuk egy random session változó, vagy mysql_real_escape_string az egy dolog, én ennél komolyabb biztonsági tényezőkre gondoltam.

Nekem eddig csak nagyon az alapok vannak meg, annyit csinálok még, hogy van egy felhasználónév és egy jelszó az adatbázisomban. A jelszó kódolva van. Nyilván megszűröm az input mezőket, így sql injection elvileg nem történhet. Vagy igen????

A jelszó és a felhasználónév nem $password és nem $username, hogy ne lehessen hamisítani, és beírni egy php változót szűrés nélkül. Ez hülyeség például????

Akkor, amikor jó a felhasználónév és a jelszó, amit lehívott a kód, elkészít egy session-t a felhasználónévvel, és egy random generált számot szintén session-ként.

Ekkor header-el átvisz a felhasználói oldalra.

Hogyha nincs meg a két session változó, akkor header-el a login.php-ra dob, tehát ezeknek kényszerűen létezniük kell.

Mit lehet még tenni?

Így még valaki írhat egy form-ot a mezőnevekkel és elküldheti get-el url ben nem? Nyilván nem szűrve az sql kódokat. Tehát ha a felhasználó rákattint egy csali linkre, akkor elvileg kaphat sql injectiont úgy, hogy a kép valójában egy rejtett form.

Az sql parancs úgy van megírva, hogy:

$sql = "select * from login where username = '$akárminevűváltozó' " stb....

Az akárminevűváltozó neve ugye nem ismert és nem kitalálható, és elvileg csak ezzel a változóval fogad el az sql kód, de ha mégis valaki kitalálná, és esetleg GET-el küldene el valamit url-ben, akkor vajon jó az a megoldás, hogy ellenőrzöm az url-t, és ha nem csak a megadott értékeket tartalmazza pl: /login akkor átdob a kezdőoldalra?

Ez hülyeség?

Biztosan rengeteg dolog van, amit meg lehet tenni még a biztonság érdekében.