Isto não é seguro. Especialmente se não estiver usando MySQL. Outros banco de dados não usam a mesma sintaxe e não se beneficiam disto. A própria [documentação da função][1] indica que funções específicas para cada banco de dados devem ser usadas para prevenir injeções.

Provavelmente você está usando o MySQL. Neste caso pode até ajudar, mas ajudar não é suficiente. [`mysqli_real_escape_string()`][2] deve ser usada no lugar, dependendo da forma como está se comunicando com o MySQL. Ela é especifica para este banco de dados e entende melhor o que pode permitir uma injeção de código e sabe evitar a injeção de um jeito adequado. Existem outras formas possíveis.

Existe uma [página bem conhecida][3] que mostra uma forma de ataque injetando SQL fazendo fazendo escape com barra.

[Coloquei no **GitHub** para referência futura][4].


  [1]: http://php.net/addslashes
  [2]: http://php.net/manual/en/mysqli.real-escape-string.php
  [3]: http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string
  [4]: https://github.com/maniero/SOpt/blob/master/PHP/Conceptual.md