รบกวนช่วยดู Code ให้หน่อยครับว่าเขียน Code แบบนี้สามารถป้องกัน sql injection ได้หรือเปล่า

<?   
		switch ($command){
	  case "ADD_Sec":
	   			if ($_FILES['file']['size']>0) { 
				 //if ($file!="") { 
				$JFile=$_FILES['file']['name'];
				$realname =date("dmYss").$JFile;	
				if (copy ($_FILES['file']['tmp_name'],"files/$realname")) {}
				}									
		$sql1="SELECT *  FROM  omp  ORDER BY sort  DESC  "; 
		$query=mysql_query($sql1);
		$row=mysql_fetch_array($query);
		$SORTID = $row[sort]+1 ;
   		 $sql="INSERT INTO opm SET name_b='$name_b',Position='$Position',url='$url',file='$realname',sort ='$SORTID',add_date=NOW()"; 
		 $query=mysql_query($sql);
		 if($query){
	    echo "<script>alert('บันทึกข้อมูลเรียบร้อยแล้วค่ะ');window.opener.location.reload(); window.close();</script>";
    	 }else{
		echo "<script>alert('ไม่สามารถบันทึกข้อมูลได้ค่ะ');window.opener.location.reload(); window.close();</script>";
		 }
	  break;
	  case "EDIT_Sec":
	    if ($_FILES['file']['size']>0) { 
				$JFile2=$_FILES['file']['name'];
				//$JFile2 =substr($JFile2, -4); 	
				$realname2 =date("dsmssYs").$JFile2;	
				if (copy ($_FILES['file']['tmp_name'],"files/$realname2")) {$where_2=" , file='$realname2' ";}						
			 }
		 $sql="UPDATE omp  SET name_b='$name_b',Position='$Position',url='$url' WHERE idb ='".mysql_real_escape_string($idb)."'";  
     //	echo ($sql);
		 $query=mysql_query($sql);
		 if($query){
	    	echo "<script>alert('แก้ไขข้อมูลเรียบร้อยแล้วค่ะ');window.opener.location.reload(); window.close();</script>";
    	 }else{
				echo "<script>alert('ไม่สามารถแก้ไขข้อมูลได้ค่ะ');window.opener.location.reload(); window.close();</script>";
		 }
	  break;
	  case "DELSEC":
	     $sql="DELETE  FROM omp WHERE idb ='".mysql_real_escape_string($idb)."'";  
		 $query=mysql_query($sql);
		 if($query){
	    	@unlink("files/$file");
				 showMessage("ลบข้อมูลเรียบร้อยแล้วค่ะ","list_menu_cat.php?Position=$Position");
		  }else{
		     showMessage("ไม่สามารถลบข้อมูลได้ค่ะ","list_menu_cat.php?idb=$idb");
		 }
	  break;
	  case "UPDATESTATUS":
	     if($now_status=="Y"){
		    $new_status="N";
		 }else{
		   $new_status="Y";
		 }
	     $sql="UPDATE omp SET h_show='$new_status' WHERE idb ='".mysql_real_escape_string($idb)."'";  
		 $query=mysql_query($sql);
		 if($query){
	    	echo "<script>alert('เปลี่ยนสถานนะเรียบร้อยแล้วค่ะ');window.opener.location.reload(); window.close();</script>";
    	 }else{
			echo "<script>alert('ไม่สามารถเปลี่ยนสถานะได้ค่ะ');window.opener.location.reload(); window.close();</script>";
		 }
	}

?>