что??? Лучше всего используй белый список. Погугли по этой теме. А так то при вводе данных в бд -> mysql(i)_real_escape_string(), а при выводе htmlspecialchars() или htmlentities(). Но это далеко не самый лучший выход.

_TURBO_ , ясно понятно...