Предотвращение инъекции SQL с помощью PHP

Поскольку мои заявления похожи на

"SELECT * FROM `box` WHERE `thing` = '{$variable}' 

Могу ли я очистить это просто

 $variable = str_replace("'","\'",$variable); "SELECT * FROM `box` WHERE `thing` = '{$variable}' 

Будет ли это работать? Мой хост не поддерживает mysql escape, и я не использую mysqli.

Solutions Collecting From Web of "Предотвращение инъекции SQL с помощью PHP"