houd er rekening mee dat mysql_real_escape_string en de mysqli escape niet 100% beveiligd zijn tegen SQL-injecties, prepared statements daarentegen wel
overigens valideren van de input vóór je die in een query zet (als voorbeeld, topic_id=21819 -> moet een integer zijn, anders ongeldig) is nog beter.