Isto não é seguro. Especialmente se não estiver MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria documentação da função indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.
Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. mysqli_real_escape_string
deve ser usada no lugar, dependendo da forma como está se comunicando com o MySQL. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código e sabe evitar a injeção de um jeito adequado. Existem outras formas possíveis.
Existe uma página bem conhecida que mostra uma forma de ataque injetando SQL fazendo fazendo escape com barra.