Dipende per cosa ti serve. Se devi semplicemente escapizzare i caratteri che possono dare problemi (apici singoli e doppi, &, ecc.) puoi usare la funzione addslashes() di PHP.

codice:
$input = addslashes($stringa);
Se invece ti interessa ripulire la stringa per inserirla in un database MySQL, puoi usare la comoda funzione mysql_real_escape_string() che si occupa di escapizzare tutti i caratteri che possono infastidire MySQL (quindi tutti quelli escapizzati da addslashes() più altri caratteri che MySQL utilizza, come i NULL byte).

codice:
$input = mysql_real_escape_string($stringa);
Dai anche un'occhiata alla documentazione su www.php.net e sul sito di MySQL.