дырявая авторизация пропускает запрос

<?php



if (isset($_POST['auth_name'])) {

  $name=mysql_real_escape_string($_POST['auth_name']);

  $pass=mysql_real_escape_string($_POST['auth_pass']);

  $query = "SELECT * FROM users WHERE user_login='$name' AND user_password 	='$pass'";

  $res = mysql_query($query) or trigger_error(mysql_error().$query);

  if ($row = mysql_fetch_assoc($res)) {

    session_start();

    $_SESSION['user_id'] = $row['user_id'];

    $_SESSION['user_ip'] = $_SERVER['REMOTE_ADDR'];

  }

  header("Location: http://".$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI']);

  exit;

}

if (isset($_GET['action']) AND ($_GET['action']=="logout")) {

  session_start();

  session_destroy();

  header("Location: http://".$_SERVER['HTTP_HOST']."/");

  exit;

}

if (isset($_REQUEST[session_name()])) session_start();

if (isset($_SESSION['user_id']) AND $_SESSION['user_ip'] == $_SERVER['REMOTE_ADDR']) return;

else {

?>

<form method="POST">

<input type="text" name="auth_name"><br>

<input type="password" name="auth_pass"><br>

<input type="submit"><br>

</form>

<?

}

exit;

?>

Имеется такой вот файл авторизации.

На страницы, доступ к которым хотим ограничить вписываем require "auth.php";

Все работает,но есть одна проблема. Имеется у меня такой файл как delete_post.php с таким содержанием

<?php 

require "system/config.php";

$delete_post=$_GET['id'];



$result = mysql_query("DELETE FROM post WHERE id='$delete_post'", $db);



require "auth.php";

?>

Ссылка на удаление получается вида delete_post.php?id=2, то есть рабоатет по id новости.

Если я вписываю в строку браузера будучи не залогиненым,он выдает ошибку конечно что вы не имеете доступа, но тем не менее запрос пройдет и новость будет удалена. помогите избавиться от этого