function anti_xss($str)
{
  $str = htmlentities($str);
  $str = mysql_real_escape_string($str);
  if(get_magic_quotes_gpc())
  {
  $str = stripslashes($str);
  }
  return $str ;
}

function anti_xss($str)
{
  $str = htmlentities($str , ENT_QUOTES, "UTF-8");
  $str = mysql_real_escape_string($str);
  if(get_magic_quotes_gpc())
  {
  $str = stripslashes($str);
  }
  return $str ;
}

magic_quotes_gpc = Off
magic_quotes_runtime = Off
magic_quotes_sybase = Off

php_flag magic_quotes_gpc Off

if (get_magic_quotes_gpc()) {
    $process = array(&$_GET, &$_POST, &$_COOKIE, &$_REQUEST);
    while (list($key, $val) = each($process)) {
        foreach ($val as $k => $v) {
            unset($process[$key][$k]);
            if (is_array($v)) {
                $process[$key][stripslashes($k)] = $v;
                $process[] = &$process[$key][stripslashes($k)];
            } else {
                $process[$key][stripslashes($k)] = stripslashes($v);
            }
        }
    }
    unset($process);
}

<?php
// الاتصال
$link = mysql_connect('mysql_host', 'mysql_user', 'mysql_password')
    OR die(mysql_error());

// الاستعلام
$query = sprintf("SELECT * FROM users WHERE user='%s' AND password='%s'",
            mysql_real_escape_string($user),
            mysql_real_escape_string($password));
?>

<?php
// لم نقم بوضع الحماية اللازمة على $_POST
$_POST['username'] = 'aidan';
$_POST['password'] = "' OR ''='";

// والان نبحث عن تطابق بين المدخلات والجداول
$query = "SELECT * FROM users WHERE user='{$_POST['username']}' AND password='{$_POST['password']}'";
mysql_query($query);

// وهذا معناه الاستعلام المرسل الى قاعدة البيانات سيمثل كارثة مثل
echo $query;
?>