O link abaixo mostra de uma forma bem simples como evitar a submissão de SQL pelos usuários de seu site.
http://www.phpbrasil.com/scripts/source.php/id/5157
Para melhorar a performance dessa funçãozinha... eu recomendo utilizar expressões regulares (arrrhhhh... eu não sou muito fã... mas é um recurso poderoso) no link abaixo tem o site do autor do livro de expressões regulares
http://guia-er.sourceforge.net/lista.html