¿Cuáles son los momentos más recomendados para usar mysql_real_escape_string()?

Lo ideal es que nunca usarlo, porque Consultas parametrizadas (ya sea a través de PDO o mysqli ) son la forma correcta de evitar la inyección SQL.