SQL инъекция или можно?
Если перед вставкой код не прошел санитайзер, то получите xss
Ты запутался в sql-инъекциях  и выводе данных.
При записи надо всегда применять подг. запросы или иные обертки, препятствующие sql-инъекциям и порчи синтаксиса SQL.
При выводе данных из БД  всегда надо применять htmlspecialchars, т.к. это предотвратит и XSS и "порчу" верстки, если попадется в тексте символ <, > или кавычки. 
Перед записью в базу текст НЕ ДОЛЖЕН подвергаться никакой санитарной обработки.