Лучше использвать db->escape, чем прямой вызов mysql_real_escape_string()