Tidak, itu tidak aman. Gunakan mysql_real_escape_string() sebagai gantinya. Seharusnya tidak menambahkan apa pun di luar apa yang diperlukan untuk keluar dari string.
http://php.net/mysql-real-escape-string
Ini juga berlaku untuk database lain:gunakan fungsi escape khusus ekstensi.
