Я юзаю mysql_escape_string() для экранирования.