quella funzione va fatta solo sui parametri..

es VALUES('mysql_escape_string('valore')')