oppure mysql_escape_string() se devi farlo prima di effettura la connessione al db