フレームワークには、おそらくSQLインジェクションを避けるためにデータベースクエリを作成するための専用ライブラリまたはインターフェイスがあります。たとえば、Djangoでは、データベースクエリは通常、ORMまたはSQLインジェクションを排除するオブジェクトリレーショナルマネージャーを介して作成されます。

一般的に、SQLステートメントはユーザー入力と連結してはなりません。SQLインジェクションは、UNESCAPEDユーザー出力がSQLステートメントに入力されたときに発生します。他の誰かがすでに書いている多くの警告やエッジケースがあるため、自分で脱出機能を書こうとするのは賢明ではありません。このため、独自のソリューションを展開するのではなく、データベースアクセスのために言語またはフレームワークのために慣用パターンまたはライブラリに頼ることが最善です。
Your framework probably has a dedicated library or interface to make database queries through that avoids SQL injections. In Django for example, database queries are usually made through a ORM, or object relational manager that precludes SQL injection in the first place.

In general SQL statements should never be concatenated with user input. SQL injections occur when unescaped user output is put into a SQL statement. It is unwise to attempt to write an escape function yourself, as there are many caveats and edge cases which someone else has probably already written or you. For this reason it's best to rely on the idiomatic pattern or library for your language or framework for database access, rather than rolling your own solution.