Existem várias formas de se prevenir SQLInjection. Dois exemplos são:
- Função mysql_real_escape_string do php Uma forma genérica
- Prepared Statements A forma realmente eficiente
Recomendo que dê uma lida na segunda opção e adote o PDOPDO para manipulação de sua base de dados.
Leia também: mysql_real_escape_string() versus Prepared Statements