Hvorfor virker det ikke?! preg_repace

Hvorfor virker det ikke??? Det er blot et uddrag af en login side, men jeg må gøre noget nede forkert i mysql_query.. for man kan stadig sql injecte..

$login = preg_replace("[/<#.*'?>/]", "", $_POST['login']);
$password = preg_replace("[/<#.*'?>/]", "", $_POST['password']);


$data = mysql_query("SELECT * FROM brugere WHERE login = '$login' AND password = '$password' ") or die(mysql_error());