Занесение кода в базу данных

<?php $query = "SELECT `id` FROM `codes` WHERE `code` = '${code}' AND `used` = 0";
  $result = mysql_query($query);
  $fields = mysql_fetch_object($result);
  
  if (mysql_num_rows($sql) == 1) {
     // Значит найдено и такой код один
      // что делать?
  
      mysql_query("UPDATE `codes` SET `used` = 1 WHERE `id` = ".$fields->id);
  } ?>

<?php
DEFINE("DB_HOST", "Имя сервера", 1);
DEFINE("DB_USER", "Имя пользователя", 1);
DEFINE("DB_PASS", "Пароль", 1);
DEFINE("DB_NAME", "Имя базы данных", 1);
 
DEFINE("TBL_CODE_NAME", "codes", 1);
 
// Зацепиться к базе
$MySQL = new MYSQLI(DB_HOST, DB_USER, DB_PASS, DB_NAME);
// Установить кодировку для полученных данных
$MySQL -> QUERY("SET NAMES 'cp1251'");
 
// Насколько я понял,данные приходят из формы. Допустим данные приходят методом POST
// Первое, что необходимо сделать - проверить пришедшие данные.
// Так как вопрос задан крайне скудно, предположу, что в коде должны быть только цифры
// Исходя из этого проверяем пришедшие данные
 
// Привести к целочисленному типу пришедшую строку
$code = INTVAL($_POST["code"]);
 
// Удалить пришедшие через форму данные
UNSET($_POST);
 
// С помощью регульрного выражения оставить только числа
$code = PREG_REPLACE("/[^\d]/i","",$code);
 
// Предположим, что данные в базе хранятся в виде хэша
$code = MD5(MD5(MD5($code)));
 
// Обновить данные в базе (установить флаг на "used"), если указанный авторизирующимся код есть.
$codes = $MySQL->QUERY("UPDATE `".MYSQL_ESCAPE_STRING(TBL_CODE_NAME)."`
                        SET  `flag`= 'used'
                        WHERE `code`='".MYSQL_ESCAPE_STRING($code)."'
                        LIMIT 1");
 
// Проверить результат выполнения SQL-запроса.
// 0 - указанный код неверный,
// 1 - авторизация пройдена успешно.
$result = MYSQLI_AFFECTED_ROWS($MySQL);
 
// Успешная авторизация - переход на страницу опроса или какая-нибудь надпись
if($result === 1)
// Переход на страницу опросов
  { HEADER("Location: http://".GETENV("HTTP_HOST")."/пример.php"); }
else
// Какая-нибудь надпись
  { echo"Какая-нибудь надпись"; }
?>

$code = PREG_REPLACE("/[^\w]|INSERT|DELETE|UPDATE|UNION|SET|SELECT|TRUNCATE|DROP|TABLE/i","",$code);