При формировании sql-запроса экранировать надо не только слэши. Кавычки, апострофы и другие используемые в sql символы могут не только сломать вам запрос, но и привести к серьёзным проблемам с безопасностью (почитайте про sql-инъекции).
Разработчики библиотек для работы с базами данных обычно предоставляют функции экранирования. Например, в PDO есть есть функция quote, в mysqli -- real_escape_string. Используйте их.
Обратите внимание, что для вашего удобства существуют интерфейсы, позволяющие испрользовать подготовленные запросы (или экранировать параметры автоматически). Например в PDO вы можете написать запрос подставив на место данных плэйсхолдеры (специальные метки, которые потом меняются на значения), и затем исполнить такой запрос передав в него данные (смотрите документацию и примеры к PDOStatement::execute). Попробуйте, это очень удобно!