I caratteri jolly hanno effetto solo se utilizzati in SELECT query e quindi solo quando si utilizzano determinate funzioni. Quindi per inserire il codice andrà bene usare mysql_real_escape_string() poiché non avranno alcun effetto.
Per renderlo migliore, ti consiglio di utilizzare PHPs DOP in modo da poter utilizzare l'associazione dei parametri. L'esempio seguente è tratto da il manuale PHP :
<?php
$stmt = $dbh->prepare("INSERT INTO REGISTRY (name, value) VALUES (:name, :value)");
$stmt->bindParam(':name', $name);
$stmt->bindParam(':value', $value);
// insert one row
$name = 'one';
$value = 1;
$stmt->execute();
// insert another row with different values
$name = 'two';
$value = 2;
$stmt->execute();
?>
