SQL injection, preparare la sentenza sql

[robynosse]

Ciao a tutti,

sto cercando una soluzione al mio problema, dato questo codice:

<?phpinclude_once "classi/ClassDB.php";
$sql="select * from usuarios where login='".$_POST["nome"]."' and password='".$_POST["password"]."'";
$risultato=new DB($sql);
$linea=$risultato->getLinee();
if($linea!=null){    
session_start();    
$_SESSION['nomeUtente']=$linea['nombre'];
}
header("location:index.php");
?>

C'e' la possibilta di verificare le variabili $_POST["nome"] e $_POST["password"] in modo da evitare che l'utente inserisca codice sql all'interno della mia sentenza assegnata alla variabile $sql?
...prima di passarla come parametro quando istanzio la classe 'new DB($sql)'.

Grazie,
Roberto