sql injection 막는 방법

mysql_real_escape_string
그누보드에서도 이 함수를 사용하던데요...

보니까 이걸 사용하지 않더라도
// php.ini 의 magic_quotes_gpc 값이 FALSE 인 경우 addslashes() 적용
// SQL Injection 등으로 부터 보호

이렇게 되어 있어서 get, post, cookie 로부터 문자를 보호하던데요
굳이 이걸 사용안해도 되는건가요?

꼭 사용해야 되나요?

그리고 mysql_real_escape_string($_POST) 이렇게 사용하면 안되나요? ^^;