mysql_real_escape_string zasługuje na twoją uwagę.
Jednak bezpośrednie zapytania są bagnem i nie są już uważane za bezpieczną praktykę. Powinieneś przeczytać przygotowane wyciągi PDO oraz parametry wiązania, które mają dodatkową zaletę w postaci wbudowanego cytowania, ucieczki itp.
