Este es un tema que montones de programadores novatos no conocen, o conocen de a poco y cada vez con menos entusiasmo. El hecho es que hay al menos una media docena de modos distintos de solicitar información desde una base de datos, y todos nos preguntamos -o deberíamos preguntarnos- qué es lo mejor que puede hacerse. Veamos las alternativas, pero antes, el mensaje esencial: no deberían pasar nunca a la DB datos provenientes del usuario que no estén validados en el server. Validar solamente con javascript no sirve (Mensaje extra: investiguen sobre el tema de Cross Site Request Forgery).Mas:

http://blog.adriania.com.ar/2011/02/17/distintos-modos-de-hacer-queries-sql-desde-php/