usi le apposite funzioni di escape, ad esempio mysql_real_escape_string()