sql injection w jaki sposób?

[inkom]

Hej.
Zabezpieczam sobie skrypt logowania przed sql injection wydaje mi się że już powinien być dobry.Więc pytam was koledzy w jaki sposób można złamać (zalogować się) ten skrypt
Pierwsze zabezpieczenie to htmlspecialchars
drugie zabezpieczenie to czy zmienna $pass równa się $password if($pass == $row['password']){

byłbym wdzięczny za przykładowe zapytania SQLI