実際のエスケープ文字列とPDO

PDO準備 を使用する必要があります

リンクから：

異なるパラメーター値を使用して複数回発行されるステートメントに対してPDO::prepare（）およびPDOStatement ::execute（）を呼び出すと、ドライバーがクエリプランのクライアント側および/またはサーバー側のキャッシュをネゴシエートできるようになり、アプリケーションのパフォーマンスが最適化されます。メタ情報、およびパラメータを手動で引用する必要をなくすことにより、SQLインジェクション攻撃を防ぐのに役立ちます 。