Protección de formulario contra inyección sql (ando perdido)

[lnunez]

ACTUALIZANDO

Me encontre con esto mysql_real_escape_string que en teoria limpia la entrada de datos "raros", pero ahora resulta que cuando hago una consulta me indica que esta vacia.

$pSQL = mysql_real_escape_string($pSQL1);

Y todo por no querer contratar un programador.