就一条：参数化查询。

PDO 预处理、ORM 都可以。

拼接字符串迟早出事，别心存侥幸。