Puntualizzazione sulla sicurezza in login

[Horus-Ra]

Sto leggendo la guida in sicurezza php (davvero ottima e ben fatta). Io sono curioso per natura , quindi sto provando tutte le query injection (e relativi sistemi per respingerle).
Durante la prova, però, ho visto qualcosa di anomalo. Questa è la query di login (semplice):

$q = "SELECT * FROM `Login` WHERE user='$login' AND pwd='$pwd'";
                    $query = mysql_query($q) or die(mysql_error());
                    $num=mysql_num_rows($query);
                    
                    
                    if($num==1){
                      header("Location: pag2.php");
                    }
                    else{
                      header("Location: index.php");
                    }  
                    
                    $_SESSION['num']=$num; 

Ho provato questo codice, che c'era nella guida:

user=pippo' OR 1=1 --
pwd='' 

Ma con il controllo del $num che ho fatto sopra non riesce a entrare. Ho provato anche a stampare $num in pag2 tramite il passaggio di variabili di sessione e ho visto che effettivamente è pari a 0.
Da notare che se inserisco user=pippo' OR 1=1 -- direttamente nel database me lo prende e mi visualizza tutte le login.
Se fosse così, significa che basterebbe quel semplice controllo per bloccare la query injection, senza bisogno di sostituire gli apici singoli o di applicare altre protezione. Ma ovviamente non può essere così. Dov'è che mi sfugge il concetto?

[bubu77]

in questo caso basta ma le sql injection sono molto pericolose in tutte le query dove i dati sono passati dal client (utente)

Ad esempio in tutte le ricerche questo controllo cade inesorabilmente, poi lo scopo dell'utente potrebbe non essere quello di entrare ma di salvare tutto il contenuto della tabella su file (si può fare con una query) e salvandolo sulla nella root del sito con il nome utenti.txt gli basta fare www.tuosito.it/utenti.txt per scaricarsi la tabella.

ciao

[Horus-Ra]

Grazie per la delucidazione