evitare sql injection e simili

nemesis.87

ho fatto 1 piccolo guestbook per il mio sito dove tramite una banale insert metto i messaggi nel database.

per garantire una certa sicurezza avevo pensato di sostituire una serie di caratteri con lo spazio vuoto per evitare sql injection.

io sostituirei <,>,",'
ci sono altri caratteri "pericolosi"?altre possibili minacce da sventare?
grazie a tutti

thedarkita

metti addslashes

vedi pure mysql_escape_string