Estou aprendendo php e gostaria de tirar uma duvida se meu código está vulnerável a sql injection.
No caso estou montando um formulário
<form method="POST" action="classes/cliente.class.php" enctype="multipart/form-data">
<input class="input" type="text" name="razaosocial" placeholder="Razão Social" onkeyup="maiuscula(this)">
<button class="button is-primary" type="submit" value="Cadastrar" name="novoCliente">CADASTRAR</button>
ai no outro arquivo estou pegando da seguinte maneira
if (array_key_exists("novoCliente", $_POST)){
$razaosocial = $_POST["razaosocial"];
$sql = mysqli_query($conexao, "INSERT INTO cliente VALUES ('', '".$razaosocial."') ");
if ($sql){
echo "<script language='javascript' type='text/javascript'>window.location.href='../consultaCliente.php'</script>";
}
else{
echo "<script language='javascript' type='text/javascript'>alert('Erro no cadastro!');window.location.href='../cadastroCliente.php'</script>";
}
else
echo"<script language='javascript' type='text/javascript'>window.location.href='../cadastroUsuario.php'</script>";
Isso é certo? Está vulnerável?