Verwenden Sie mysql_real_escape_string() , oder noch besser, verwenden Sie parametrisierte Abfragen mit PDO .