Isso responde bem:

• mysql_real_escape_string() versus declarações preparadas por Ilia Alshanetsky

Então, para estar no lado mais seguro, não confie em mysql_real_escape_string sozinho, usar declarações preparadas é muito melhor.