Isto não é seguro. Especialmente se não estiver MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria documentação da função indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.
Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. mysqli_real_escape_string
Deve ser usada no lugar. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código.
Existe uma página bem conhecida que mostra uma forma de ataque.