nicht angemeldet
Den mysql_real_escape_string hast du ja ohnehin bereits angesprochen. Wenn du deine Daten aber sauber und unabhängig von der Webservereinstellung speichern willst, dann musst du berücksichtigen, dass per magic_quotes unter Umständen schon escaped wurde.
Ein anderer typischer Fehler wäre, dass die abfrage in zwei Schritten erfolgt (z.B. eine Vorschau) und dann hidden-input Felder nicht mehr überprüft werden.
So viel fällt mir gerade ein.
Grüße.