O üçlüyü bende kullanıyorum. Sqlden kaçış için de mysql_escape_string kullanıyorum ama bu sefer <br> kodları gözükmüyor ve textarea formundaki bir alt satıra geçen metin düz yazı olarak devam ediyor.
nl2br uygulaktiktan sonra strip_tags da istedigin tag lara izin verebilirsin.
örnek
$veri = $_POST['text'];
$veri = nl2br($veri);
$veri = strip_tags($veri,'<br>');
gibi