un semplice mysql_real_escape_string prima di fare la query sul db e naturalmente confronto la firma della password dopo averla crittografata per non scriverla in chiaro nel db...