Учитывая, что оно у вас сохранилось в базу, а не выполнилось - там уже какая то защита есть.
А если по делу, то используйте prepared statements и PDO.

А где у вас функция, что то возвращает?
И если вы оформите нормально код, будет приятнее на это все смотреть.

https://symfony.com/doc/current/routing.html#gener...
Параметром в generateUrl надо передавать имя роута.

Доку на сайте читать.
На Хабре недавно выходила серия статей - как сделать блог на симфе, думаю, что будет полезно.

Я начал изучать с 2.7 или 2.8, то при переходе на 3 мало, что изменилось, структура чуть-чуть.