Función escapeString.

[Triby]

El problema es que debes escapar campo por campo, no toda la consulta, ejemplo:

Código PHP:

$query = "SELECT COUNT(*) FROM userTable";
$query .= " WHERE username='" . safeQuery($user) . "' AND password='" . safeQuery($password) . "'";