Посоветуем читать документацию и не вандалить входящие данные, называя это санитацией. В разрезе mysqli посоветуем юзать mysqi_real_escape для запросов обычных, с обязательным соблюдением единства кодировок входящих данных и таблицы, либо юзать prepared statements с типизированными плейсхолдерами.