SQL injection, solucionat amb prepare()