Il modo migliore per evitare SQL injections e' utilizzare i prepared statements.