add escaping sql