Esta realmente protejido contra sql injection?

[Montano]

codigo do index para logar

<?
session_start();
  $base = mysql_connect('localhost','root','') or die ("Erro ao conectar.");
    $db = mysql_select_db("test");
 if(isset($_GET['acao']))
 {
  if($_GET['acao'] == "login")
  {
   if (isset($_POST['login']))
   {
   if (empty($_POST['login']))
   {
   $erro[] = "Informe seu login.";
   }
   }
   else
   {
      $erro[] = "Informe seu login.";
   }
   
   if (isset($_POST['senha']))
   {
   if (empty($_POST['senha']))
   {
   $erro[] = "Informe sua senha.";
   }
   }
   else
   {
      $erro[] = "Informe sua senha.";
   }
  if (!isset($erro)){
     $login =addslashes(htmlentities($_POST['login']));
       $senha = addslashes(htmlentities($_POST['senha']));

       $sql = "SELECT * FROM user WHERE  login = '$login' and senha = '$senha'";
         $result = mysql_query($sql, $base) or die ("Erro ao executar sql");
       $linha = mysql_num_rows($result);
       if ($linha > 0){
                 $reg_login = mysql_fetch_array($result, MYSQL_ASSOC);
                 $_SESSION['login'] = $reg_login['login'];
                    $_SESSION['senha'] = $reg_login['senha'];
                    header("Location: menu.php");
                    exit;
                       }
                       else
                       {
                       $erro[]= "Usuário e/ou senha invalido(s).";
                       }
                       
  }
  
  }
 }
?>

Codigo do menu já logado.

<?php
  session_start();
  if(!isset($_SESSION['login']) || !isset($_SESSION['senha']))
  {
  header("Location: index.php?erro=1");
  exit;
  }

  if (isset($_GET['logoff'])){
  session_unset();
  session_destroy();
  header("Location: index.php");
  }
?>

esse sistema de sessoes é seguro?

uma outra duvida minha é como eu posso fazer para o php quando der erro, não indentificar o numero da linha do erro.

obrigado pela ajuda

Editado Março 6, 2009 por Montano