prima di processare la query inserisci:

Codice PHP:
 mysql_real_escape_string($sql);