Éviter l'injection SQL en utilisant mysql_real_escape_string et stripslashes

Ceci y répond bien :

• mysql_real_escape_string() versus instructions préparées par Ilia Alshanetsky

Donc, pour être plus sûr, ne vous fiez pas à mysql_real_escape_string seul, utiliser des instructions préparées est bien mieux.