Ein erster und schneller Schritt wäre die Verwendung der php-Funktion mysql_real_escape_string() .
Prepared Statements gehen soweit ich weiß nicht immer, insbesondere dann, wenn du dynamische JOINS über unterschiedliche Tabellen hast. Man sollte sie aber verwenden, wenn es möglich ist.
