Замечание:
mysql_escape_string() не экраинрует
% и _.
Функция идентична mysql_real_escape_string(), исключая то, что
mysql_real_escape_string() принимает параметром ещё и указатель на соединение
и экранирует в зависимости от кодировки.
mysql_escape_string() не делает этого и результат
работы не зависит от кодировки, в который вы работаете с БД.