Isto não é seguro. Especialmente se não estiver MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria [documentação da função][1] indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.

Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. [`mysqli_real_escape_string`][2] Deve ser usada no lugar. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código.

Existe uma [página bem conhecida][3] que mostra uma forma de ataque.


  [1]: http://php.net/addslashes
  [2]: http://php.net/manual/en/mysqli.real-escape-string.php
  [3]: http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string