sql injection 을 처리하기위한 질문입니다.

select * from 테이블명 {$key} like '%{$val}%'

이렇게 하고 하고 있습니다. 

키값은 값이 변경되기 때문에 변수에 받아오고 있는데요 

key를 escape 할수 있는 방법이 있나요?

key를 escape_str 하면 쿼리 오류가 발생하고 

escape 을 하면 '변수명' 이 되어서 데이터가 검색이 실제로 되지 않습니다.

where '컬럼명' like '%데이터%'  << 검색이 안됨