Powinieneś użyć PDO Przygotuj
Z linku:
Wywołanie PDO::prepare() i PDOStatement::execute() dla instrukcji, które będą wywoływane wielokrotnie z różnymi wartościami parametrów, optymalizuje wydajność aplikacji, umożliwiając sterownikowi negocjowanie buforowania planu zapytania po stronie klienta i/lub serwera i metainformacje i pomaga zapobiegać atakom typu SQL injection, eliminując potrzebę ręcznego cytowania parametrów .
