Prepared Statements wären gut, aber die lassen sich nicht sehr anwenderfreundlich mit mysqli verwenden (Binding will echte Variablen-Referenzen, Übergabe als Array geht nur mit Kopfständen). PDO ist da angenehmer.

Seit PHP 5.6 gibt es einen spread-Operator, damit wird der call_user_func_array-Hack überflüssig.

mysqli_stmt_bind_param($stmt, $types, ...$params);