escaping PG SQL correctly