Где то тут была тема по этому поводу и там не первый раз писали: mysql_real_escape_string, приведение типов, и не каких велосипедов.

И в mysqli есть какаето фишка типо приготовления запросов которая тоже sql иньекции исключает, ибо приводит к типу.

Вроде шаблоны называться.

Вообще лучше использовать фреймверк для работы с БД и не писать кучу вело-кода.