Правильно ли я понял если я в POST использовал mysql_real_escape_string
$login = htmlspecialchars(mysql_real_escape_string(trim($_POST['login'])));
То мне уже можно его не использовать в mysql_query("INSERT INTO `".$prefix."users` SET `login` = '".$login."', для логина ?