¿Es seguro?

[angel1993]

Código PHP:

  $variable = str_replace("\","& #92;",$variable); 
$variable = str_replace("'","& #39;",$variable); 
$sql = "select campo from tabla where campo = '$variable' ; "  
   

evidentemente sin el espacio entre & #

[jackson666]

Que es lo que queres hacer? Cambiar los simbolos por codigo html?
Se usa htmlentities() para eso

[angel1993]

es para sql injection

[jackson666]

Usa mysql_real_escape_string(), o expresiones regulares, o stripslashes() o trim()...

[Acron_0248]

trim() ni de vaina...

stripslashes() como forma de control a lo que luego escaparás

expresiones regulares no vale la pena si ya tienes una función que lo hace a menos que vayas a modificar valores no cubiertos por dicha función

mysql_real_escape_string() la mejor opción