Escape parameter in SQL query