direi che per le sql injection basta e avanza mysql_real_escape_string