Donde debo insertar mysql_real_escape_string en mi código fuente

[mayid]

A cada variable POST tenes que limpiarla. A todas. Tambien a las numericas. Yo hoy dia tengo esta funcion que uso para todo tipo de valores de formulario:

Código PHP:

/* Limpiar cadenas de texto */  
function limpiar($texto, $numerico = false){
    
    if ($numerico)
        if (is_numeric($texto))
            return $texto;
        else die("Este dato debiera ser numerico: ".fixEncoding(trim(strip_tags($texto)))); 
        
    else
        return mysql_real_escape_string(fixEncoding(trim(strip_tags($texto))));
}
 

La de fixEncoding corrige el charset de ser necesario, pero tambien es una funcion creada.

En fin, haces limpiar($_POST['variable']);