Melkij

str_replace на пустую строку?

Здесь никакого экранирования нет.

Зачем точки? Странный вопрос. Потому что оператор конкатенации в PHP именно такой.
Кавычки - для получения корректного синтаксиса обоих языков - PHP и SQL.

Для cURL'а - CURLOPT_INTERFACE

Вы пошли неверным путём.
Вашу сессию всё равно через некоторое время вычистит сборщик мусора.
А то, что у вас останется сессионная кука на сутки - ничем не поможет без соответствующего файла сессии.
Вешайте свою собственную куку, с уникальным токетом. По нему отслеживайте, что это за пользователь и надо ли его вспоминать.

Не думаю, что code_options должен быть вторично закодирован в JSON.
У метрики апи местами очень странное, но не настолько.

str_pad(str_repeat('X', $i), MAX_STRING_LENGTH, '_', STR_PAD_RIGHT);

?

И вопрос по самой базе, делать отдельную таблицу для путей к фотографиям или добавить новое поле к существующей?

Вообще ничего не делать с базой. Зачем?
Именуйте фотографии по значению первичного ключа таблицы.

По-моему, этот паттерн называется "костыль".
К тому же, от E_STRICT "non-static method SomeClass::someFunction_() should not be called statically" вы никуда не делись.

class SomeClass {
  public function someFunction(){
    if(empty($this))
    {
      echo 'статичный контекст';
    }
    else
    {
      echo 'объектный контекст';
    }
  }
}
$obj = new SomeClass;
$obj->someFunction();  // 'объектный контекст';
SomeClass::someFunction(); // 'статичный контекст'

Результат тот же самый.

dev.mysql.com/doc/refman/5.1/en/union.html

(SELECT a FROM t1 WHERE a=10 AND B=1 limit 20)
UNION
(SELECT a FROM t2 WHERE a=11 AND B=2 limit 20)
UNION
(SELECT a FROM t3 WHERE a=12 limit 20)
ORDER BY a LIMIT 20;

Если JS в тегах не ошибка, а именно что-то вроде JSONP используется - то запросто. У пользователей передача реферера почти всегда включена - все в логах осядет.
Если апишка серверная - то только ip хоста в логах. Для выяснения доменного имени этого маловато, но при большом желании можно попробовать что-нибудь выяснить - хостеру написать, например.

Докажите, пожалуйста, что вы знаете, что делаете, ломая нормальную форму БД (нормальная форма - технический термин). Т.е. чёткую аргументацию, почему это надо сделать именно так.
Тогда напишу решение.

Это старый баг, вкратце звучит так: "This happens to every NON ASCII char as the first char in a cell."
https://bugs.php.net/bug.php?id=45356
https://bugs.php.net/bug.php?id=48507
И ещё несколько.
Попробуйте поиграться со stream_filter_prepend в обсуждении 48507 бага.