Como te han mencionado, es mejor crear `sentencias preparadas` para proteger mejor nuestras sentencias contra ataques de `inyección SQL`

Los ataques de `inyección SQL` solo puede ocurrir si no formateamos las partes de nuestra consulta de manera invulnerable.

Un formato malicioso seria:

    SELECT * FROM usuario WHERE nombre='Foo';

Un formato correcto seria:

    SELECT * FROM usuario WHERE nombre='Foo\'; 

Fuente (Ingles):

 - [https://phpdelusions.net/sql_injection][1]


Fuente SOes:

 - [http://es.stackoverflow.com/questions/36119/es-posible-protegerme-contra-una-inyeccion-sql-si-lo-paso-por-get/36149#36149][2]

Ejemplo **sentencias preparadas**:
----------------------------------

Código HTML:   

> **Nota:** el atributo `name` es nuestro identificador, para obtener nuestros datos segun caso por metodo `POST` o `GET`, en nuestro caso va ser por metodo `POST`.
    
    <form action="php/registrar_cliente.php" method="POST">
    
       <div class="form-group">
          <label for="idnom">Nombre:</label>
          <input type="text" class="form-control" id="idnom" name="nnombre" REQUIRED placeholder="Ingresar Nombre">
       </div>
    
       <div class="form-group">
          <label for="idape">Apellidos:</label>
          <input type="text" class="form-control" id="idape" name="napellido" REQUIRED placeholder="Ingresar Apellidos">
       </div>
    
       <div class="form-group">
          <label for="idtdoc">Tipo de Documento:</label>
          <select class="form-control" id="idtdoc" name="ntdoc">
             <option value="DNI">DNI</option>
             <option value="RUC">RUC</option>
          </select>
       </div>
    
       <div class="form-group">
          <label for="iddoc">Documento:</label>
          <input type="text" class="form-control" id="iddoc" name="ndoc" REQUIRED placeholder="Numero de Documento">
        </div>
    
        <div class="row">
            <div class="form-group col-sm-4">
                <label for="iddir">Direccion:</label>
                <input type="text" class="form-control" id="iddir" name="ndireccion" REQUIRED placeholder="Ingresar Direccion">
             </div>
    
             <div class="form-group col-sm-8">
                <label for="idtelf">Telf/Movil:</label>
                <input type="text" class="form-control" id="idtelf" name="ntelf" REQUIRED placeholder="Ingresar Telf o Movil">
              </div>
    
         </div>    
         
         <input type="submit" name="registrar" class="btn btn-primary" value="Registrar">
         <button type="button" class="btn btn-default">Cancelar</button>
    
    </form> 

Código PHP (php/registrar_cliente.php) 

    <?php
    
    //Reseteo variables.
    $msg = $nombre = $apellido = $tipo_doc = $documento = $direccion = $telf = NULL;
    
    //Comprobación definición formulario, mediante el identificador input submit.    
    if(isset($_POST['registrar'])){
    
    	//Comprobamos que no haya ningun campo vacio del formulario.
    	if (empty($_POST['nnombre']) && empty($_POST['napellido']) && empty($_POST['ndoc']) && empty($_POST['ndireccion']) && empty($_POST['ntelf'])) {
            //Mensaje Error.
    		$msg = "Ups, todos los campos del formulario son obligatorios.";
    	} else {
    		//Verdadero, obtenemos datos.
    		$nombre = $_POST['nnombre'] ?: '';
    	    $apellido = $_POST['napellido'] ?: '';  
    	    $tipo_doc = $_POST['ntdoc'] ?: '';
    	    $documento = $_POST['ndoc'] ?: '';
    	    $direccion = $_POST['ndireccion'] ?: '';
    	    $telf = $_POST['ntelf'] ?: '';
    	}
    
    	//Comprobamos que todos nuestros datos sean verdadero.
    	if ($nombre && $apellido && $tipo_doc && $documento && $direccion && $telf) {
    
    		//Requeremos conexión MySQL (¡Importante! Llamamos a nuestra conexión donde vamos a utilizarlo).
    		require_once'conexion.php';
    		
    		//Sentencia preparada.
    		$sql = $conn->prepare("INSERT INTO cliente (nombre,apellidos,tipo_doc,dni,direccion,telfmovil) VALUES (?,?,?,?,?,?)");		
    
    		//Ligamos parametros marcadores (?,?,?,... es decir, $nombre,$apellido,$tipo_doc,...)
    	
    		//Especificación del tipo de caracteres:
    
    		//i 	la variable correspondiente es de tipo entero
    		//d 	la variable correspondiente es de tipo double
    		//s 	la variable correspondiente es de tipo string
    		//b 	la variable correspondiente es un blob y se envía en paquetes
    		
    		$sql->bind_param("ssssss",$nombre,$apellido,$tipo_doc,$documento,$direccion,$telf);	
    
    		//Ejecutar sentencia
    		$ejecutar = $sql->execute();
    		
    		//Comprobamos que se ejecutó correctamente.
    		if (false===$ejecutar) { #Falso
    
    			exit('execute() failed: ' . htmlspecialchars($sql->error));
    
    		} else { #Verdadero.
    
    			//Mensaje OK.
    			$msg = ucfirst($nombre) . " tus datos se registraron con exito.";
    		}
    
    		//Cerrar sentencia.
    		$sql->close();		
    
    	}
    
    }//Fin isset.
    
    //Mensajes OK / ERRORES.
    echo $msg;        
    
    ?>


  [1]: https://phpdelusions.net/sql_injection
  [2]: http://es.stackoverflow.com/questions/36119/es-posible-protegerme-contra-una-inyeccion-sql-si-lo-paso-por-get/36149#36149