Sikkerhed i PHP 100points

<?
$connection = mysql_connect(\"localhost\",\"vis\",\"vis\");
mysql_select_db(\"vis\", $connection);

if($user && $pass){
    $result=mysql_query(\"select pass from vis where user=\'$user\'\");
    $num=mysql_num_rows($result);
    if($num>0){
        $row=mysql_fetch_array($result);
        if($pass==$row[pass]){
            //ok
           
           
            echo \"<table border=1>\";

            $dir=\"c:\\\\\";
            $handle=opendir(\"$dir\");

            while (false!==($file = readdir($handle))) {
   
                if ($file != \".\" && $file != \"..\") {
       
                    if(is_dir(\"$dir$file\")){
                        echo \"<tr bgcolor=yellow><td>Dir</td><td>$file</td></tr>\";
                    }else{
                        echo \"<tr bgcolor=lime><td>Fil</td><td>$file</td></tr>\";
                    }
                }
            }
           
            closedir($handle);
            echo \"</table>\";           
           
        }else{
            //forkert pass
            echo \"Forkert bruger eller adgangskode\";           
        }   

    }else{

        echo \"Forkert bruger eller adgangskode\";           
    }


}else{

    ?>
    LOG IND<br>
   
    <form action=\"vis.php\" method=\"post\">
    <table border=0>
    <tr><td>Username</td><td><input type=\"text\" name=\"user\"></td></tr>
    <tr><td>Password</td><td><input type=\"password\" name=\"pass\"></td></tr>
    </table>
    <input type=\"submit\" value=\"Login\">
    </form>
    <?
    }
    ?>

mysql databasen vis skal indeholde user og pass (jeg har lavet dem begge som varchar 200)