Misturar duas bibliotecas de banco de dados como essa é uma má ideia e potencialmente insegura.

mysql_real_escape_string() precisa de um mysql_connect() clássico existente conexão de banco de dados (da qual ele pode obter informações do conjunto de caracteres) para ser totalmente seguro. A conexão PDO será separada, possivelmente com diferentes configurações de conjunto de caracteres, resultando em menos segurança :

Use PDO até o fim, não há alternativa.

Se você não quiser usar declarações preparadas, PDO::quote deve ser a função correta:

Observe, no entanto, que mesmo a página de manual para essa função recomenda o uso de instruções preparadas.