Ez tényleg fontos dolog. Nem is olyan régen én is szereztem így admin jogot magamnak egy oldalon. Szigorúan engedéllyel garázdálkodtam :)

A leíráshoz egy kis megjegyzés: Az első sql kódnál még aposztróf sincs a változók körül. Így idézőjel sem kell az űrlapon, eleve hibás lesz. De ezt nyilván csak kifelejtetted itt a példában..

mysql_real_escape_string() jó és kell is használni, de ha a szerveren a magic_quotes_gpc = On ( PHP 5.3 óta úgy tudom, alapértelmezetten OFF ), akkor magától is escapel. Erre még rátesz a függvény. És kiolvasásnál kell használni a stripslashes-t. Okozhat problémákat. Szóval célszerű azt a függvényt úgy használni, hogy előbb a magic_quotes_gpc() értékét vizsgáljuk. Viszont a mysql_real_escape_string() a mysql_escape_string() függvényhez képest az adatbázis kódolását is figyelembe véve escapel ( ha a második paramétere meg van adva.A db kapcsolat azonosító ). Nem csak idézőjeleket. Így én a szerveren bekapcsolt magic_quotes_gpc mellett stripslashes -el törölni szoktam az escapeléseket. És csak a mysql_real_escape_string -re hagyatkozom.

"(NOW() függvény egy SQL függvény, ami a jelenlegi pontos szerveridőt küldi el az adatbázisnak) "

Ehhez annyit, hogy nem küldi el az adatbázisnak. Pontosabban az adatbázisszerveren dől el az értéke. Ha a mysql szerver nem azonos a webszerverrel, és tegyük fel különböző a dátum, de bizonyos dátumokat php date() -el, másokat now() -al DB-ből adunk meg, az is összezavarhatja a programot.

Ilyen még nem fordult velem elő, csak mondom, hogy elméletben lehetséges.