Mam takie zapytanie:

[PHP] pobierz, plaintext 
$db->exec("INSERT INTO `private_messages` VALUES (null, 1, '".$user_info['uid']."', '".htmlspecialchars($_POST['pw_thread'])."', '".$_POST['pw_msg']."', '$current_date', 1, 0)");
[PHP] pobierz, plaintext 

Jest to system prywatnych wiadomości i wszystko działa, ale jak wyśle wiadomość, która w temacie będzie miała np.:

[PHP] pobierz, plaintext 
<?php echo 'a'; ?>
[PHP] pobierz, plaintext 

To w ogóle nie dodaje się do bazy. Nie mam pojęcia jak to zabezpieczyć... próbowałem htmlspecialchars i addslashes, ale dalej to samo.

Korzystam z biblioteki pdo

spróbuj metody execute
http://www.php.net/manual/en/pdostatement.execute.php
pod linkiem opis jak tego używać. ogólnie - nie podajesz parametrów "na żywca", tylko odpowiednio przetwarzasz przed podaniem do zapytania
http://www.php.net/manual/en/pdostatement....php#example-999