Anbefaler deg å bruke nettstedet PHP The Right Way aktivt. Du behøver å ta i bruk saniteringer av input (ikke brukt data fra $_REQUEST direkte) og parametrisert spørring (her demonstrert via PDO, men mysqli går "hvis du må").