Utilizar mysql_real_escape_string()

[Blashak]

realice unas prueba segun el enlace que me pasaste y el contenido te lo guarda igual sin modificarlo.

Código PHP:

$ccontenido = "' OR ''='";
 
 
echo $ccontenido;
$con = mysql_connect("localhost", "", "") or die ("no se puede establecer la conexion con el servidor");
 
$sdb = mysql_select_db('prueba', $con);
 
$stb = sprintf("SELECT * FROM webs where Usuario = '%s'",
            mysql_real_escape_string($ccontenido));
$resultado = mysql_query($stb, $con) or die (mysql_error());
 
//este echo me printa por pantalla \' OR \'\'=\' . esto esta correcto
echo sprintf('%s', mysql_real_escape_string($ccontenido));
 
 
$sql = sprintf("INSERT INTO webs (Usuario) VALUES ('%s')",
       mysql_real_escape_string($ccontenido));
 
$resultado = mysql_query($sql, $con) or die (mysql_error());
 

el echo que hago despues de hacer la consulta me printa por pantalla \' OR \'\'=\' . que esto estaria correcto.

pero el insert que realizo me guarda la variable en la bd sin modificacion.
resultado bd:
' OR ''='
no tendria que guardarlo de esta manera.
\' OR \'\'=\'

ya que después cuando quiera consultar datos no estará limpio.

Saludos