Ибрахим, Юзать плейсхолдеры, возможно переходить на PDO (что кстати в будущем очень пригодится). В ООП знания имеются?

Ибрахим, ну ну) просто никто серьезно не брался за твой сайт. Было бы все так легко и просто. Никто бы никогда не создал плейсхолдеры и не писались бы классы для очистки от SQL-инъекций. Зачем класс, когда есть mysql_real_escape_string?)
Почитай, я тоже до поры до времени также заблуждался...

Flowap™, Отвечаю для тебя и для всех, кто не понимает почему.
mysql_real_escape_string
Эта функция нужна для форматирования строк, любых строк, а не только потенциально опасных.
Экранирует она всего лишь ограничители строк, которые могут разбить строку.
Короче говоря, эта функция не служит для того, чтобы очищать входные данные от SQL-инъекций, но при этом у нее есть небольшой побочный эффект, который экранирует ограничители строк.
Ребят, юзайте плейсхолдеры.

ну и по теме...
mysql_real_escape_string тоже не защитит от sql-инъекций

KoT, Раз для тебя нет разницы, поступай как хочешь. А разница есть.

Ибрахим, Не надо фильтровать перед записью в базу этим методом: htmlspecialchars, лучше фильтровать при выводе.

Вообще по правильному htmlspecialchars на выводе из базы использовать, а не перед записью