Selamlar, SQL'de

$query = $db->query("SELECT * FROM tablo WHERE ip = '{$localip}'", PDO::FETCH_ASSOC);

gibi data çekiyorum ve

$log = $db->prepare("INSERT INTO log SET ip = ?, durum = ?, tarih = ?");
    $insert = $log->execute(array(
        $saveip, "Sisteme kayitli degil", $date
    ));

gibi de veri yazıyorum sisteme, bu kodlardaki Injection açıklarını nasıl kapatabilirim bilgisi olan var mı?