Golda, если я буду экранировать строку, то не нужон для нее применять функцию htmlspecialchars(); ?

Есть разные виды экранирования. 

htmlspecialchars() используют для того, чтобы предотвратить XSS - злонамеренное использование возможностей javascript и HTML (например, вызов удаленного php-скрипта пользователя, замаскированного под src картинки). Для того, чтобы сработал javascript, нужно чтобы  его текст был выведен в HTML. Для того, чтобы текст какой-нибудь переменной, введенной пользователем, случайно не сработал, все потенциально опасные символы перед выводом в HTML (или во время фильтрации при вводе) заменяют на их безопасные аналоги с помощью  как javascript htmlspecialchars() 

Другой вид опасности, который может исходить от данных пользователя,  - SQL-инъекция. Если данные пользователя учавствуют в запросах к базе данных (неважно, на выборку, вставку, удаление или update),  есть шанс, что пользователь может попытаться изменить смысл Вашего запроса и использовать его не так, как Вы предполагали, если не позаботиться о безопасности. Например, есть запрос

"SELECT * FROM table WHERE key=". $_GET['key']

если пользователь задаст $_GET['key'] равное 1 OR 1=1 при подходящем построении скрипта он получит доступ ко всем записям вместо одной. Поэтому, чтобы избежать SQL-инъекции, данные пользователя (не важно, пришедшие из $_GET, $_POST или $_COOKIE ), которые попадут в sQL-запрос, пропускают через фильтр функций, которые экранируют символы, потенциально опасные в SQL-запросах. В Вашем случае имеет смысл использовать mysql_real_escape_string(). Есть и другие механизмы помимо экранирования, например, prepared statements, но они недоступны в пределах библиотеки, которую Вы используете.

Этими случаями вопросы безопсности web-приложений не исчерпываются, конечно. Есть include-, shell- инъекции, кража и подмена сессий... От каждого вида опасности выстраивают свою защиту.