PHP - mySQL - Injections, Schadcode verhindern?

Hallo zusammen,

ich beschäftige mich gerade ein wenig mit php und mysql.
Überall sind zwar nette Tutorials, aber irgendwie fehlt mir da noch ein "Klick".
Es geht sich am Ende um Sicherheitsaspekte, Injectionverhinderung und sowas.
Habe da einiges gelesen von mysql_real_escape_string und stripslashes, aber irgendwie komm ich mit der Anwendung nicht ganz klar.

Minimieren wir mal mein Problem auf folgendes:
Bitte haut mich jetzt nicht, wenn ich irgendwo etwas syntaktisch falsch habe, es ist mehr oder weniger pseudo-code

Es gibt eine Tabelle mit Artikeln und Preisen (beide Felder sind vom typ varchar):

Produkt A 1,50 €
Produkt B 2,95 €
...


mit
SELECT name, preis FROM artikelliste
bekomme ich die Liste aller Produkte und kann mir diese darstellen

Über ein normales Formular lassen sich neue Artikel einfügen

<form accept-charset="utf-8" action="'.$_SERVER['PHP_SELF'].'" Method="post">
Name: <input type="text" name="name"><br>
Preis: <input type="text" name="preis"><br>
<input type="submit" value="Eintragen">
</form>

-->
INSERT INTO artikelliste (name, preis)
VALUES ('$_POST['name']', '$_POST['preis']')

klappt prima.
(ähnlich mit dem UPDATE von artikeln, für Namens und/oder Preisänderungen)

Da es jetzt hier ein Eingabefeld für Benutzereingaben gibt, benötige ich doch etwas, um die Benutzereingaben zu "filtern", um Schaden zu vermeiden?
Jetzt dehne ich das mal ein wenig aus und verlasse diese simple Liste und denke u.a. an Eingaben, die sql-code enthalten oder andere scripte, oder alleine schon Hochkommata, wodurch diverser weiterer Code fehlerhaft werden könnte.

Klar, das ist jetzt kein Login, wo man mittels injection sich Zugriff erschleichen könnte, aber es ist ein Eingabeformular.
Welche Funktionen (mysql_real_escape_string, stripslashes, htmlentities oder ähnliches) muss ich jetzt WANN und AN WELCHER STELLE genau am besten einsetzen?

Ich steh da ein wenig auf dem Schlauch, vielleicht könnt ihr mir ja schon recht simpel helfen.

Schöne Grüße

foreach($_POST as $key => $value) {
  $SAFE_POST[$key]=mysql_real_escape_string($value))
}
foreach($_GET as $key => $value) {
  $SAFE_GET[$key]=mysql_real_escape_string($value))
}