mam taką funkcję:

[PHP] pobierz, plaintext 
<?php
function sqlesc($content) {
  global $db;
  $content=$db->real_escape_string(htmlspecialchars(strip_tags($content)));
  return $content;
}
?>
[PHP] pobierz, plaintext 

pole text insertuję tak:

[PHP] pobierz, plaintext 
<?php
'".nl2br(sqlesc($_POST['content']))."'
?>
[PHP] pobierz, plaintext 

Lecz nie robi mi br:/ Dlaczego skoro zamieniam na znacznik HTML dopiero po wszystkich innych zabiegach?

najpierw wykonuje się sqlesc i to co z niego otrzymasz idzie do nl2br i prawdopodobnie to jest przyczyną

no tak tlyko czemu nie robi br?
Zrobiłem nowa funkcję i też nie działa:

[PHP] pobierz, plaintext 
<?php
function sqlesc_br($content) { // allow <br />
  global $db;
  $content=$db->real_escape_string(htmlspecialchars(strip_tags($content,'<br>')));
  return $content;
}
?>
[PHP] pobierz, plaintext 

htmlspecialchars zamienia na zwykły tekst

[PHP] pobierz, plaintext 
<?php
$new = htmlspecialchars("<a href='test'>Test</a>");
echo $new;
?>
[PHP] pobierz, plaintext 

wyświetla zwykły tekst a nie link

czyli jak to teraz zrobić żeby działało? nie chcę htmlspecialchars usuwać ze względu na bezpieczeństwo:/

ale dziwne, bo nawet jak w odwrotnej kolejności wywołam te funkcje to i tak mi nie koduje:/
Raz mi zamienia tagi html na encje, a za 2gim razem mam spacje:/

idąc krok po kroku doszedłem do takiej funkcji:

[PHP] pobierz, plaintext 
<?php
function sqlesc($content) {
  global $db;
  $content=strip_tags($content);
  $content=htmlspecialchars($content);
  $content=$db->real_escape_string($content);
  return $content;
}
?>
[PHP] pobierz, plaintext 

i się okazało że ta linia zamienia moje br na spacje:

[PHP] pobierz, plaintext 
<?php
$content=$db->real_escape_string($content);
?>
[PHP] pobierz, plaintext 

jak temu teraz zaradzić?

------------------------EDIT------------------------------------------
Zrobiłem taką funkcję:

[PHP] pobierz, plaintext 
<?php
function sqlesc($content) {
  global $db;
  if(get_magic_quotes_gpc()) {
    $content=htmlspecialchars(strip_tags($content));
  }
  else{
      $content=$db->real_escape_string(htmlspecialchars(strip_tags($content)));
  }
  return $content;
}
?>
[PHP] pobierz, plaintext 

Czy jest to dobre rozwiązanie?

Pokaż co się "kryje" pod funkcją real_escape_string

Jest to odpowiednik mysql_real_escape_string" title="Zobacz w manualu PHP" target="_manual tyle że w mysqli-> http://php.net.pl/manual/pl/mysqli.real-escape-string.php