questo è inutile:
codice:
addslashes(stripslashes($var));
(togli gli slash e poi li rimetti? )

piuttosto controlla con get_magic_quotes_gpc() se hai i magig quotes attivi (lo sono per default), ed utilizza mysql_real_escape_string() (o mysql_escape_string() per le versioni piu vecchie) prima di inserire i dati nel db


al posto di quei str_replace, c'è l'apposita htmlentities()


dai un'occhiata qui:
http://freephp.html.it/articoli/view_articolo.asp?id=78
http://freephp.html.it/articoli/view...olo.asp?id=123