Перед функциями работы с MySQL ставьте '@'. Даже если где-то упустите какой-то параметр, ломать вслепую хакеру доставит мало удловольствия.