como evitar sql injection en php?

[tabelor]

Hago la query:

$sql = "insert into wikiloc_idioma_fichas(id_ficha,id_idioma,titulo,de scripcion) Values ($id,44,'$titulo','$descripcion')";

Le paso la función que le mete los caracteres de escape:

$sql = mysql_escape_string($sql);

La query me queda así:

print_r($sql);
//apareceria la query así (id_ficha,id_idioma, descripcion) Values ($id,44,\'loquesea\',\'loquesea\')";

y al pasarlo a base de datos me da error:

$resultado=mysql_query($sql);