No perché io malintenzionato potre provocandoti un SQL injection anche attraverso la password, e questo vale per tutti i campi che interagiscono con le query del tuo database

Se ad esempio il tuo controllo nella query fosse il seguente:

Codice PHP:
"SELECT * FROM utenti WHERE user='".$_POST['user']."' AND pass='".$_POST['password']."'" 
Potrei inviare come password la seguente stringa: ' OR 1='1

con questo risultato:

Codice PHP:
"SELECT * FROM utenti WHERE user='xxxx' AND pass='' OR 1='1'" 
Non importa quale valore assumeranno user e pass, io ho un 1=1 il quale è sempre vero, ottenendo probabilmente l'accesso alle pagine riservate

Se invece converto gli apici nella sua entità html, cioè ' otterrei:

Codice PHP:
"SELECT * FROM utenti WHERE user='xxxx' AND pass='' OR 1='1'" 
in cui la password è ' OR 1='1 ottenendo login errato