Protección de formulario contra inyección sql (ando perdido)

[pateketrueke]

Para que te des una idea del problema:

Código PHP:

$foo = 'bar';
 
// MAL
$sql = mysql_real_escape_string("SELECT * FROM tabla WHERE columna = '$foo'");
 
// BIEN
$foo = mysql_real_escape_string($foo);
$sql = "SELECT * FROM tabla WHERE columna = '$foo'";
 

¿Se entiende?