Mi sa che te la complichi tu!
Sai che con il tuo metodo si entra solo sapendo l'utente e NON SAPENDO la password?
Chiamasi SQLINJECT

Non sto a spiegare il perchè per ovvi motivi di sicurezza!

Ciao!
Zappa