Errore in funzione personalizzata PHP: dove sbaglio?

[Lighty]

Salve a tutti.
Ribadisco che sono un neofita del PHP ma è da qualche giorno che non riesco a trovare la soluzione a questo problema. Ho creato una funzione per evitare SQL injection che, con una serie di str_replace elimina dei caratteri potenzialmente pericolosi in input. Purtroppo, stampando a video la funzione non mi modifica in nessun modo la stringa. Per capirci: che la funzione esista o meno a video mi viene stampata la stringa originale, quella inserita prima della funzione. Per quale motivo? Dove sbaglio?

function String($string){
str_replace("'","  ",$string);
//ci sono altri str_replace ma preferisco ometterli per motivi di sicurezza
return $string;} 

Grazie in anticipo per le risposte.

[Alhazred]

str_replace("'"," ",$string);

deve essere

$string = str_replace("'"," ",$string);

comunque per evitare sql injection c'è già mysql_real_escape_string(), o meglio mysqli_real_escape_string()

[Lighty]

Grazie mille! L'avevo detto di essere un neofita...