А у меня так почему-то не работает...

код в студия

ну значит неправильный путь. В программировании чудес не бывает

В этом сомнений нет, если покажите структуру ваших файлов и html код - объясню

Что означает для вас корректно?

$id= '1 union select * from users';
$result=mysql_query("select * from users where user_id=" . mysql_real_escape_string($id) . "");

ОПять таки дайте определение MySQL-инъекцие

MySQL-инъекция - страшная хрень, состоящая из определенного набора символов, которую вводит злой хацкер с целью навредить ресурсу (украсть данные, удалить данные, попортить их структуру и т.п.), и нарушающая в итоге логику SQL-запроса..
как-то так

Правда непонятно куда вводит, ну тогда как видишь mysql_real_escape_string не является абсолютной защитой.
Главное - правильное определение и грамотный вопрос (может он и не возникнет тогда)

Тут читай

На сколько я помню не прокатят со стандартным phpшным расширением mysql. Расширения mysqli и postgre вроде отрабатывают.

Там в чате писал уже.
Люди, читайте чаще php.net там все написано (а если не все в тексте, то в комментах точно будет). Смотрим mysql_real_escape_string():

Тоесть эта функция экранирует только символы \x00 (злостный нуллбайт), \n (перенос строки), \r (возврат каретки), \ (обратный слэш), ' (апостроф), " (кавычка) и \x1a (че-то). На все остальные символы ей глубоко наплевать.

А по поводу коммента. Прикинем логически: если у нас запрос:

SELECT * .... WHERE `id` = $_GET[id]

то тут конечно коммент станет частью SQL запроса, пройдет и отработается mysql'ом. Но стоит заключить переменную в апострофы:

SELECT * .... WHERE `id` = '$_GET[id]'

как опасный коммент станет лишь текстом для SQL и база не обратит на него никакого внимания. (это же верно и для -- и для ;)

Там много о чем не сказано... Ты вот увидел, что комментариями можно накуралесить и паника. А я вот тебе еще сейчас подкину:

' OR 1='1

И еще много чего есть... Если будешь циклиться на каждом частном случае - жизни не хватит.

Главное правильно обработать данные, тогда можно не думать об этих опасностях.
Как - я написал в статье. И поверь, этого достаточно.

Не надо этого делать. В базе храниться число и сравнивать его нужно с числом, а не пихать апострофы из за боязни.

Это всего лишь пример того, как отработается sql запрос с кавычками и без них. Насчет замечания - согласен, хотя приведение к нужному типу произойдет в любом случае.

Да я как-бы и не спешу никуда.. Помощь иногда требуется в понимании принципов и теории; когда возникают вопросы - ищу помощи здесь, на форуме, так что если знаешь ответы на заданные вопросы - отвечай здесь, может кому-то еще пригодится.
А насчет "за идею" - я и сам стараюсь помочь людям, если знаю решение.

я такого тут не встречал, может разве в шутку говорили..

На будующее когда две точкидобавляешь, ты выходишь в корневой каталог сайта!
И не какое это не чудо

не MySQL, а SQL иньекцию, да, перед тем как добавлять какую нибудь запись в БД, можно еще обработать htmlspecialchars, это обязательно