Вместо этой функции следует использовать функцию mysql_real_escape_string()!

Данная функция идентична функции mysql_real_escape_string(), за исключением того, что mysql_real_escape_string() принимает дескриптор соединения в качестве своего первого аргумента и экранирует строку в соответствии с текущей кодировкой. Функция mysql_escape_string() не требует параметров соединения в качестве аргумента и не учитывает установки текущей кодировки.