come detto su: se magic_quote è attivo ci pensa lui ad anteporre backslash.

Io ho usato:

$stringa_da_form = htmlspecialchars($stringa_da_form);
$stringa_da_form = nl2br($stringa_da_form);
if (!get_magic_quotes_gpc()) {
$stringa_da_form = mysql_real_escape_string($stringa_da_form);
}
....query INSERT....