엑티브 레코드를 쓰면 sql injection 이 자동으로 처리 된다는 글들이 많이보여 ... 

active record만 사용했는데도 제 생각처럼 동작하지 않아 .. 질문 드립니다.

codeigniter 3.1.4 를 사용하고 있으며 

로그인시 

$this->input->post('login_data',TRUE)

이렇게 post 값을 가져와서 ..

->where('user_id', $login_data['user_id'])
->where("user_password = password('{$login_data['password']}')",NULL,FALSE)
->limit(1)
->get('users');

이런식으로 처리 중입니다.

너무도 쉽게 sql injection 으로 뚫려 버리는데 ... 인젝션을 막는 방법이 있을까요?

해외 사이트 ci포럼 등에 나온 데로 했는데 다른 분들도 이런식으로 사용하시는걸로 

보이는데 .. 제가 뭔가 빼먹은게 있을까요?