sqlインジェクション対策する時に real_escape_string()を使うと思います。 セッションに保存してエラーメッセージを もう一回フォームに出してやろうとすると、 \'\'こんな感じで、 DBに入るとまずい文字がエスケープされたモノが表示されます。 この状態で、もう一度リロードすると\\'\\'ってなった...