■PHPでMysqlと接続する時の質問です。セキュリティー面で添削、指摘して下さい。

PHPを勉強中です。現在下記のような記述でMysqlへのデータの出し入れを行っております。
セキュリティー面などで、考慮する点などありましたらご指摘下さい。


■データを入力する時
if ($_SERVER["REQUEST_METHOD"]=="POST"){
if (isset($_POST["hoge"])){

$hoge = htmlspecialchars($_POST["hoge"], ENT_QUOTES);

if($hoge == ""){ //変数内容に合わせてチェック
$error[] = "未入力";
}

if($error == ""){
//DBに登録
$sql = sprintf("INSERT INTO hoge (hoge) VALUES('%s')",$hoge);
$mysql->query($sql); //接続クラスで、mysql_query();
}
}
}


■データを取得する時
if ($_SERVER["REQUEST_METHOD"]=="GET"){
if (isset($_GET["hoge"])){

$hoge = htmlspecialchars($_GET["hoge"], ENT_QUOTES);

$mysql->query("SELECT * FROM hoge WHERE hoge = '$hoge'");
$row = $mysql->fetch(); //接続クラスで、mysql_fetch_array();

echo $row['hoge'];//書き出し
}
}