E D\'angelo è giusto, quindi mysql_real_escape_string() è la funziona che devi usare.