Часто вижу две распространённые проблемы: кто-то вставляет переменные прямо в запрос без подготовки, что открывает дыры в безопасности, а другие наоборот делают всё через подготовленные выражения — так надёжнее и удобнее ловить ошибки. Второй вариант чуть сложней в начале, но потом экономит кучу времени и нервов, когда масштабируешь проект.