Tach!
[...] maskiere die Werte mit der für Deine Verbindung geeigneten Methode, z.B.
mysql_real_escape_string()
.Diese Funktion ist schon lange nicht mehr geeignet und auch in keiner der noch gepflegten PHP-Versionen mehr enthalten.
Wie ich schon über die falschen Benennungen schrieb:
Mit sowas schießt man sich selbst das Gehirn ab und macht dann Fehler.
(Du hast also recht.)