Validaciòn POST

[abigor66]

Muy buenos dìas Foreros, me he topado con un fragmento de còdigo para validacòn de usuarios:

Código PHP:

$password=$_POST['password'];
$query = mysql_query("SELECT username,password FROM users WHERE username = '$username' and estado<>'0'") or die(mysql_error());
$data = mysql_fetch_array($query);
if($data['password'] != $password) {
//echo "<font color='#FF0000'>la contraseña <b>$password</b> es incorrecta</font>";
}
else  {echo 'estas dentro';}
 

cuando lo vì, creì que era fàcil burlar la validaciòn conociendo el nombre de usuario, sin embargo, cuando coloco en el campo de password:

Código SQL:

1 AND 1==2
 

me muestra el mensaje de que la contraseña es incorrecta, a pesar que el usuario es correcto.

alguien sabe porque no valida la peticiòn, ya que en la condiciòn del password quedarìa:

Código SQL:

$data['password'] != 1 AND 1==2
 

lo cual es falso y deberìa entrar al sistema, no?

Gracias por su tiempo.