Aby uzyskać maksymalne bezpieczeństwo, wydajność i poprawność, użyj przygotowanych instrukcji.Oto jak to zrobić z wieloma przykładami w różnych językach, w tym PHP:
https://stackoverflow.com/questions/1973/co-jest-najlepszym sposobem-unikania ataków-wstrzykiwania-sql