PHP a MySQL - zabránění SQL injection

https://stackoverflow.com/questions/60174/how-can-i-prevent-sql-injection-in-php

Obecně na téma validace a sanitizace:
https://www.w3schools.com/php/php_filter.asp

konkrétně datum:
https://stackoverflow.com/questions/23039207/sanitizing-a-date

No

Ten příspěvek od MASO už byl přímo červený (navštívený).

Asi to budu muset hasit takhle, co?

$stmt=$conn->prepare(INSERT INTO MyGuests(firstname,lastname,email)VALUES(?,?,?)");
$stmt->bind_param("sss",$firstname,$lastname,$email);
//set paramters and execute
$firstname="John";
$lastname="Doe";
$email="john@example.com";
$stmt->execute();

Nebo ještě se zeptám takhle, co když si napíšu tuhle funkci:

function BlockSQLInjection($str)
{
return str_replace(array("'",""","'",'"'),array("'","""'",""",$str));
}

a následně budu používat:

$userName=BlockSQLInjection($_POST['userName']);
$password=BlockSQLInjection($_POST['password']);

Přiznám se, že funkci vůbec nerozumím.
Mění apostrof za apostrof a uvozovku za její HTML entitu? Každopádně i syntaxe je špatně - """ a závorky.
Podle předchozího příspěvku jsi si nastudoval PDO, takže proč knihovnu nepoužiješ.
Pokud používáš mysqli, pak kýžená funkce je mysqli.real-escape-string.php .