Para parâmetros de escape para entrar em uma consulta SQL você não use addlashes, mas
mysql_real_escape_string . Exemplo:
<?php
$param = mysql_real_escape_string($_GET['param']);
$query = "SELECT f1, f2 FROM atable WHERE f3 = '$param' ";
// these single quotes here are essential !! ^ ^
// if you leave out the quotes you **will** suffer SQL-injection.
Esta é a maneira correta de escapar dos parâmetros SQL.
Ou ainda melhor usar PDO com instruções preparadas, então você não precisa escapar.
