Prepared statementって扱うの難しいですね・・・
オブジェクト指向とかさっぱりだし
ぶっちゃけ　mysql_real_escape_stringで十分と思ってたら
えらい目に会いますか？