Einzigstes Problem ist eben nur bei z.B. einem Forum. Es braucht nur einer union in den Text zu schreiben und schon hat man nen Hacking Attempt...
Warum nicht einfach mysql_real_escape_string?