ad a)
Du musst sämtliche Eingaben des Benutzers escapen - ansonsten reicht schon ein
"asd') OR 1=1" als Passwort, und schon ist dein Benutzer als admin eingeloggt,
wenn er den Usernamen eines Admins errät.

MagicQuotes können deaktiviert werden, alleine darin liegt schon die größte Gefahr.
Weiters werden nur die GPC Variablen escaped, nicht aber Strings, die
anderweitig in den Code gelangen, sei es durch Schnittstellen, Verwendung
eines Wertes, der aus der DB kommt, oder sonst was.

Davon abgesehen braucht es nicht zwingend single Quotes, um eine SQL Injection zu erreichen.

Hmmm...

Die Cookies werden ja selbständig bei jedem GET- oder POST-Request mit an den
Server geschickt, wenn die Domäne paßt, oder ?

Dann schickst du selbständig immer(!) Klartext-Username- und Password-Cookies
an den Server ???

Abgesehen davon reicht es dann aus, sich selbst ein timestamp-Coolie zu
generieren und ich bin als jeder gewünschte User drin ?

Also den groben unterschied sehe ich noch nicht .

     Dann schickst du selbständig immer(!) Klartext-Username- und Password-Cookies
    an den Server ???

nö.. Wieso ?

Liege ich da falsch ???

public function __construct ()
{
$this->m_oConfig = new config();
$this->m_oActions = new actions();
$this->loadEnv();

}

private function workEnv()
{
}

private function loadEnv()
{
    $this->m_oActions->set ($_GET, "g");
    $this->m_oActions->set ($_POST, "p");
}

public function get ($what)
{
// Gets the posted/getted/userset Values from array in order.
$result = "";
if (array_key_exists ($what, $g_actions))
$result = $this->g_actions[$what];
if (array_key_exists ($what, $p_actions))
$result = $this->g_actions[$what];
if (array_key_exists($what, $u_actions))
$result = $this->u_actions[$what];

if (strlen($result) == 0)
return FALSE;
else
return $result;
}

Überprüfung der Cookies "username", "passwort" und vergleich mit der Datenbank.

Ich würd niemals ein Cookie setzen mit plain Pass

Zahlst einen Liter