Du bør bruge PDO Prepare
Fra linket:
Kaldning af PDO::prepare() og PDOStatement::execute() for sætninger, der vil blive udstedt flere gange med forskellige parameterværdier, optimerer ydeevnen af din applikation ved at tillade driveren at forhandle klient- og/eller server-side caching af forespørgselsplanen og metainformation og hjælper med at forhindre SQL-injektionsangreb ved at eliminere behovet for manuelt at citere parametrene .