prima togli eventuali barre che possono essere state aggiunte via POST e poi devi usare mysql_escape_string
io di solito uso questa funzione.
Codice PHP:
function clean($valore) {
$valore = stripslashes($valore);
$valore = trim($valore);
$valore = mysql_escape_string($valore);
return $valore;
}


if (empty($_POST['tua_variabile'])) $tua_variabile = "" ;
else $tua_variabile = clean($_POST['tua_variabile']) ; 
se per caso hai un controllo che valida i dati e li rimanda indietro in caso negativo, devi ripassare i valori delle variabili con stripslashes