Ще трябва да избягвате стойностите преди поставяте ги в заявката:
$hnum = mysql_real_escape_string($_POST['hnum']);
$query = "INSERT ... VALUES('$hnum')";
Ако имате много стойности, можете да ги преминете през цикъл:
$values = $_POST;
foreach ($values as &$value) {
$value = mysql_real_escape_string($value);
}
$query = "INSERT ... VALUES('$values[hnum]')";