Казак, Цитирую:
функцию mysql_real_escape_string не надо использовать. Ее использовали, когда текст запроса формируется на php, чтобы вне кавычек ничего не вылезло. А в подготовленном запросе, схема самого запроса уже создана, осталось только данные подставить, т.е. БД знает что это данные, а не код запроса.