关于htmlspecialchars

当时不知道。。以为这个可以防止sql注入。。。
其实

select * from register where username = '$username' and password = '$passwod'
select * from register where username = '   OR  1=1#' and password = '  '      

就可以简单绕过。。。