c'è la funzione mysql_real_escape_string, da usare dopo la connessione al db e prima della query.