Достаточно будет делать mysql_real_escape_string при записи и htmlspecialchars на выходе?