Php请求表达式是否可以安全地将数据插入数据库

我在数据库中插入数据，并进行以下验证，其中我只接受'和&以及@和.。之后我使用mysqli_real_escape_string($var)。

所以我看到它的输出是：

I''m a good boy &@ is it secure var for input to DB.

我的问题：

1） 如果我接受'和&以及@和.，是否会出现任何安全问题
2） 如果不是安全问题，则将'插入数据库。用反斜杠存储数据有问题吗
3） 如果这不是安全问题，那么用户面板中的数据显示为'。那么它需要用stripslashes($var);逃生吗？

我的验证：

$var = "I'm a good boy &@ is it secure var for input to DB.";
if(preg_match("/^[a-zA-Z0-9.'&@ ]+$/", $var) !== 1)
    echo "var is NOT OK.<br/>";
else
    echo "var is ok.<br/>";
mysqli_real_escape_string($link, $var);