Přístup do administrace

Ahoj, pro přístup admina na některé stránky používám následující kód, zajímalo by mě zda ho mám dostatečně ošetřený proti nějakému šťouralovi? Díky za případnou konzultaci.

<?php
session_start();
include "database.inc";

if ($ok) //zpracování formuláře
{
$sql = "select password from admin where username = '$jmeno'";
$res = mysql_query ($sql);

if ($res && mysql_num_rows ($res) && md5 ($heslo) == mysql_result ($res,0))
{
$_SESSION ["username"] = $jmeno;
Header ("Location:$back");
exit;
}

else
$chyba = true;
}
mysql_close();
?>

<?php
if ($chyba)
echo "<p>Uživatelské jméno nebo heslo neexistuje</p>"
?>


Dále v každé stránce ke které je nutné se přihlásit mám tento kousek kódu:

<?php
session_start();
if (!$_SESSION ["username"])
{
Header ("Location:login.php?back=$PHP_SELF");
exit;
}
?>

ještě přidám formulář, pro ty které by tento kód chtěli použít:

<form action="<?php echo $PHP_SELF ?>" method="post">
<input type="hidden" name="back" value="<?php echo $back ?>" /><br />
<input type="text" name="jmeno" /><br />
<input type="password" name="heslo" /><br />
<input type="submit" name="ok" value="Přihlásit" />
</form>