funzione contro sql injection

[spawn88]

Buongiorno a tutti,
ho provato a creare una funzione che pulisca i dati di login inseriti dall'utente ma volevo avere un vostro parere se ho scritto una porcheria oppure ho creato qualcosa di utile.
Lo script è il seguente:

<?php
function controllo ($username, $password){
    if (!get_magic_quotes_gpc()){
            
        $username = htmlspecialchars(trim(addcslashes($username)));
        $password = htmlspecialchars(trim(addcslashes($password)));
        $password = md5($password);
         
    }else{
            
        $stringa1 = stripslashes($username);
        $stringa2 = stripslashes($password);
        $username = mysql_real_escape_string($stringa1);
        $password = mysql_real_escape_string($stringa2);
        $password = md5($password);
    }
    $parametri = array($param1, $param2);
    $puliti = controllo($username, $password);
    return($puliti);
}//fine funzione

$username = $_POST['$USERNAME'];
$password = $_POST['PASSWORD'];

list($username, $password) = controllo($username, $password);

$sql = "SELECT * FROM login WHERE usename = "'.$username.'" AND "'.$password.'"";
$result = mysql_query($sql);
if ($result){
    ....
}
?>

Attendo vostri graditissimi consigli.
Grazie a tutti in anticipo.