htmlspecialchars kullanın SQL açığı olmaz