comment utiliser la vraie chaîne d'échappement mysql?

Vous devrez échapper les valeurs avant vous les mettez dans la requête :

$hnum = mysql_real_escape_string($_POST['hnum']);
$query = "INSERT ... VALUES('$hnum')";

Si vous avez beaucoup de valeurs, vous pouvez les parcourir :

$values = $_POST;

foreach ($values as &$value) {
    $value = mysql_real_escape_string($value);
}

$query = "INSERT ... VALUES('$values[hnum]')";