...Mas, você quer dizer:
$user = $_POST["user"]; // Get username from <form>
$user = mysql_real_escape_string($user); // Against SQL injection
$user = strip_tags($user); // Filter html characters out
?
Como dito nas outras respostas (referindo-se a
strip_tags() , mas é o mesmo para mysql_real_escape_string() ), essas funções não alteram as strings diretamente, mas retornam a cópia modificada . Então você tem que atribuir valores de retorno para a mesma (ou outra) variável! 
