Если вопрос стоит именно в подстановке переменной в строку то можно использовать функцию sprintf()
А если вам нужно именно для формирования запросов к СУБД, тогда лучше использовать PDO
Пример из документации:
$sth = $dbh->prepare('SELECT name, colour, calories
FROM fruit
WHERE calories < ? AND colour = ?');
$sth->execute(array(150, 'red'));
$red = $sth->fetchAll();
А если вы используете mysqli и не хотите его менять, тогда используйте mysqli::prepare()
Пример из документации:
$link = mysqli_connect("localhost", "my_user", "my_password", "world");
$city = "Amersfoort";
if ($stmt = mysqli_prepare($link, "SELECT District FROM City WHERE Name = ?")) {
/* связываем параметры с метками */
mysqli_stmt_bind_param($stmt, "s", $city);
/* запускаем запрос */
mysqli_stmt_execute($stmt);
/* связываем переменные с результатами запроса */
mysqli_stmt_bind_result($stmt, $district);
/* получаем значения */
mysqli_stmt_fetch($stmt);
printf("%s находится в округе %s\n", $city, $district);
/* закрываем запрос */
mysqli_stmt_close($stmt);
}