Защита от SQL инъекций
Откройте для себя PDO и placeholders.
— Все данные, которые не должны содержать кавычек, режу фильтрацией по белому списку. 
 — Данные, которые могут быть с кавычками и которые могут быть порезаны фильтрацией, обрабатываю функцией mysql_real_escape_string.

В вашем методе возможны проблемы с кодировкой.