При формировании запросов для фильтрации чисел использую (int), для строк - mysql_escape_string. Но сейчас всё больше склоняюсь к обёрткам для работы с БД.
Предпочитаю заранее фильтрировать данные. Фунция типа is_var_correct ($var) ... далее $name = is_var_correct ($_POST['name']); ... mysql_query ("SET name = '$name'");