Подготовленные выражения, конечно, лучше, но иногда реально раздражают своей многословностью, особенно в простых скриптах. Можно и без них, если твой проект не особо большой и на скорую руку. Главное — не забывать про фильтрацию данных и хотя бы базовую защиту, чтобы не было прямых дыр и сюрпризов с безопасностью. Зачем усложнять там, где можно проще?