la variabile $sql per php non è nè + nè - che è una stringa...
allora applica tutte le regole (che devi conoscere!!!!) per operare con le stringhe.