sqlインジェクション対策する時に
real_escape_string()を使うと思います。
セッションに保存してエラーメッセージを
もう一回フォームに出してやろうとすると、
\’\’こんな感じで、
DBに入るとまずい文字がエスケープされたモノが表示されます。
この状態で、もう一度リロードすると\\’\\’ってなったります。

別に””が無効になってるからいっかと思ってたんですけど、
ついに気にされたので、直しました。