[PHP][MySQL]Filtrowanie danych. Opcje

[Gruchol]

Witam,
Jak zabezpieczyć dane wkładane do bazy? Chodzi mi tutaj czy addslashes lub mysqli_real_escape_string zabezpieczy przed tym aby w nazwach użytkowników po pobraniu ich z bazy i wyświetleniu nie pojawiało się np. <b> lub alerty z javascriptu?
Pozdrawiam.

[Gruchol]

Próbuje to zrobić tak:

[PHP] pobierz, plaintext 
$query = sprintf("INSERT INTO USERS VALUES(NULL, '%s', '%s', '%s', '$ip', '%s', '', '', '$date', '$password')", 
		mysqli_real_escape_string($email, $db),
		mysqli_real_escape_string($name, $db),
		mysqli_real_escape_string($sn, $db),
		mysqli_real_escape_string($cl, $db)
		);
[PHP] pobierz, plaintext 

jednak coś tutaj jest nie tak, pokazuje mysqli_real_escape_string() expects parameter 1 to be mysqli, string given w 4 razy.

Czy zmienne przed wsadzeniem do mysqli_real_escape_string mogą być dodatkowo przepuszczone przez htmlspecialchars?
Z góry dzięki.