Hatsune Miku, Нужно прогонять значения передаваемые в запрос,но не сам запрос.

А зачем SQL запрос прогонять через htmlspecialchars() и mysqli_real_escape_string()