指出这串代码错误：$sql1 = "select * from user where name = '" . $user . "'and password='" . $pswd . "'" ;

这段代码存在SQL注入的安全风险，因为它直接将用户输入 `$user` 和 `$pswd` 插入到 SQL 查询中，没有进行适当的转义处理。攻击者可能会通过输入特殊字符来修改查询，导致数据泄露或其他安全问题。

正确的做法应该是使用预处理语句（PreparedStatement）或参数化查询，来保护敏感信息。例如，可以使用 PDO 或 mysqli 的预处理函数：

$stmt = $pdo->prepare("SELECT * FROM user WHERE name=:name AND password=:password");
$stmt->bindParam(':name', $user);
$stmt->bindParam(':password', $pswd);
$stmt->execute();

或者使用mysqli的类似方法：

$sql1 = "SELECT * FROM user WHERE name=? AND password=?";
$stmt = $conn->prepare($sql1);
$stmt->bind_param("ss", $user, $pswd);
$stmt->execute();

这样可以防止SQL注入，并提高代码安全性。