una buona partenza sarebbe usare il post come metodo di invio del form...in secondo luogo mysql_real_escape_string il manuale di php dice che è abbastanza sicuro...controlla il manuale per ulteriori chiarimenti