Nessuno, meglio questo modo: http://php.net/manual/en/pdo.prepared-statements.php