Вы можете сделать:
$things = array_map('mysql_real_escape_string', $_POST['things']);
$q = "INSERT INTO tblslider(src) VALUES ('". implode("'),('", $things)."')";
Он генерирует (с моими тестовыми данными):
INSERT INTO tblslider(src) VALUES ('a.jpg'),('b.jpg'),('c.jpg')
Я забыл: использовать только такие функции, как mysql_real_escape_string
на real данные, а не строка SQL.В вашем примере вы применяете функцию к уже объединенным данным.