Sql иньекция

Как исправеть иньекцию $req = mysql_query("SELECT * FROM `clan_people` WHERE `clan_people0`='$nick' and `clan_people1`='$ggggg' LIMIT 1");

Добавлено через 00:30 сек.
Еще $user=mysql_query("SELECT * FROM `users` WHERE `udata0`='$_POST[to]'");

Добавлено через 02:47 сек.
Народ?

mysql_real_escape_string

Заместь mysql_query?

нет,mysql_query("SELECT * FROM `users` WHERE `udata0`='.mysql_real_escape_string($_POST[to]).'");

А первый вариант?

mysql_query("SELECT * FROM `clan_people` WHERE `clan_people0`='mysql_real_escape_string($nick)' and `clan_people1`='mysql_real_escape_string($ggggg)' LIMIT 1");

Спасибо за ответ.