$var = $_POST['var']
if(get_magic_quotes_gpc()) {
  $var = stripslashes($var);
}
//tutaj możesz dodać htmlspechalchars i/lub striptags jeśli rzeczywiście ich potrzebujesz
$var = mysql_real_escape_string($var);