$login1 = trim($_POST['login']); 
$login1 = htmlspecialchars($login1,ENT_QUOTES); 

$stmt = $mysqli->prepare("INSERT INTO test (login) VALUES (?)");  
$stmt->bind_param('s', $login1);  

/* выполнение подготовленного выражения  */  
$stmt->execute();

почему, если $_POST['login'] равен, к примеру <img src='/image.jpg'>, то он не заносится в БД?