guarda la funzione mysql_real_escape_string credo proprio che sia quello che cerchi