Utilice marcadores de posición; de lo contrario, será susceptible a la inyección SQL:http:// php.net/manual/en/mysqli.quickstart.prepared-statements.php
De lo contrario, aquí hay una solución rápida:http://php. net/manual/en/function.mysql-real-escape-string.php
$sql = sprintf(
"UPDATE mytable SET field_json = '%s' WHERE id = '%s'",
mysql_real_escape_string($json_string),
mysql_real_escape_string($userid)
);
$result = mysql_query($sql);
EDITAR
Utilice PDO ( http://www.php.net/manual/en /libro.pdo.php
). El mysql
la extensión ha quedado obsoleta a partir de la versión 5.5