evitar inyección 

Escapar los caracteres especiales
http://us2.php.net/manual/es/mysqli.real-escape-string.php