回答編集履歴

- 値が固定値なら手でエスケープすればよいと思いますが、preg_replace（ですよね）を使うということは可変なのですよね。であれば、SQLインジェクションの可能性があるので、プレースホルダを使う一択だと思いスマ。