seguridad mysql

[ANDRESDD]

Cuando hago esto

$var=mysql_real_escape_string($_POST['r1']);
$registro=mysql_query("select ".$EXP.", ".$AP.", ".$A.",from ".$PB." where ".$NG."='$var' ");

while($reg=mysql_fetch_array($registro)){

$cod1=mysql_real_escape_string($reg[$EXP]);

mysql_query("UPDATE ".$MC." SET $EXP=$cod1 WHERE ".$NG."=1 ",$conexion);
mysql_query("UPDATE ".$MC." SET $AP=".$reg["$AP"]." WHERE ".$NG."=1 ", $conexion);
mysql_query("UPDATE ".$MC." SET $A=".$reg["$A"]." WHERE ".$NG."=1 ", $conexion);

}


en vez de imprimirme el valor en mi base de datos me imprime literalmente la cadena $reg[$EXP], ya probe con comillas, sin comillas, etc. y ninguno dio resultado