escape sql query string