Unknown column 'XXX' in 'field list'

[suit]

Und genau so (plus Escaping-Funktion, mysqli_real_escape_string) machst du das auch mit den $variablen.

Aber bitte nur für Strings ;)