Você está mencionando injeção de SQL e instruções parametrizadas, mas não parece estar em PDO? - Use o DOP http://www.php.net/manual/en/ pdo.prepare.php