Basta fare l'escape delle stringhe, con mysql_real_escape_string() o equivalente