a sto punto mi butterei su questo:

http://php.net/manual/en/pdo.prepared-statements.php