Faille sécurité pour mon site

function user(){   
    if(isset($_SESSION['connexion']){   
        return true;   
    }else{   
        return false;   
    }   
}   

if($body=='menu_admin'){   
//t'affiche le menu   
}else{   
//t'affiche le formulaire   
}   

if($body=='menu_admin' && user()){   
//t'affiche le menu   
}else{   
//t'affiche le formulaire   
}   

<?php
}
//on regarde si le login est défini
if (isset($_SESSION['login_utilisateur']) && $_SESSION['login_utilisateur'] != NULL)
{
	$login_utilisateur = $_SESSION['login_utilisateur'];
    
//si le login est adminmusique
	if ( $login_utilisateur == 	'adminmusique' )
	{
//on est administrateur 
		$prenom_utilisateur = 'administrateur';
//et on cré le lien d'administrateur
		$admin = '<img src="image/admin.png" alt="admin" title="admin" border="0" /><a href="index.php?body=menu_admin">[Administration]';
//on affiche pas le lien mon espace
		$profil = '' ;
//sinon, on est $_SESSION['prenom']
	}
	else
	{
		$prenom_utilisateur = (utf8_decode ($_SESSION['prenom_utilisateur']));
//on affiche pas de lien administration
		$admin = '' ;
//et on cré le lien mon espace
		$profil = '<img src="image/espace.png"/><a href="index.php?body=menu_profil&amp;body_e=e_liste_profil">[ Mon espace ]</a>' ;     
	}
?>

<div class="bonjour"><?php echo '&nbsp;<img src="image/bouton_ok.png" alt="bonjour"/>&nbsp;Bonjour '.$prenom_utilisateur ;?></div>

<div class="espace_deconnexion">
	<?php echo $admin;?>
	<?php echo $profil;?>

		&nbsp;<img src="image/deconnexion.png" alt="connexion"/><a href="index.php?action=deconnexion">[ Déconnexion ]&nbsp;</a>
</div>

<?php
}
else
{
?> 

<span class="connecter">
		&nbsp;<img src="image/connection.png" alt="connexion"/><a href="index.php?body=formulaire_connexion">&nbsp;Se connecter</a>
</span>

<?php
}
?>

<?php
//on teste si le visiteur a soumis le formulaire
if (isset($_POST['submit']))
{
//on vérifie si le login et password ne sont pas vide, nulle ou non définie
	if (!empty($_POST['login_utilisateur']) && (!empty($_POST['password_utilisateur'])))
	{
//on récupère les valeurs des champs
		$login_utilisateur = trim($_POST['login_utilisateur']); //supprime les espaces en début et fin de chaine
		$login_utilisateur = htmlspecialchars($login_utilisateur, ENT_QUOTES);// supprime les caracteres speciaux html dans la chaine
		$login_utilisateur = stripslashes($login_utilisateur);// Supprime les antislashs d'une chaîne. 

		$password_utilisateur = trim($_POST['password_utilisateur']);
		$password_utilisateur = htmlspecialchars($password_utilisateur, ENT_QUOTES);
		$password_utilisateur = stripslashes($password_utilisateur);
        
//on sélectionne la table utilisateur et on teste le champ login
		$resultats = $bdd->query("SELECT * FROM utilisateur WHERE login_utilisateur='".$login_utilisateur."'");
// on affiche la requète
		$donnees = $resultats->fetch(PDO::FETCH_ASSOC);
//si le password est différent on met un message d'erreur
		if($donnees['password_utilisateur'] != $password_utilisateur)
		{
			echo "<span class='erreur'>Mauvais mot de passe...ou Mauvais login...<br/> Merci de recommencer.</span>";
		}
//sinon c'est bon
		else
		{
//on cré des variables accessibles depuis toutes les pages
			$_SESSION['login_utilisateur']= 	$login_utilisateur;
			$_SESSION['id_utilisateur']=		$donnees['id_utilisateur'];    
			$_SESSION['password_utilisateur']=	$donnees['password_utilisateur'];           
			$_SESSION['nom_utilisateur']=		$donnees['nom_utilisateur'];
			$_SESSION['prenom_utilisateur']=	$donnees['prenom_utilisateur'];   
			$_SESSION['email_utilisateur']=		$donnees['email_utilisateur'];
	       
// la fonction de redirection ------------
function redir($url){
echo "<script language=\"javascript\">";
echo "window.location='$url';";
echo "</script>";
}
// Utiliser la redirection ---------------
redir("./index.php");

		}
	}
	else
	{
		echo "<span class='erreur'>Veuillez remplir tous les champs !!!</span>";
	}
}

include('formulaire_connexion.php');
?>