Evitar la inyección SQL usando mysql_real_escape_string y stripslashes

Esto lo responde bien:

• mysql_real_escape_string() versus declaraciones preparadas por Ilia Alshanetsky

Entonces, para estar más seguro, no confíe en mysql_real_escape_string solo, usar declaraciones preparadas es mucho mejor.