//.....................
if ((!empty($_REQUEST['preparate'])) && (!empty($_REQUEST['city'])) && (!empty($_REQUEST['category'])))
{
/* preparate protect*/
$preparate = strip_tags($_REQUEST['preparate']);
$patern = array("'",",","+","/","\\","@","|",":","?","union","and","or","$","{","}","&","#","%","`","Like",";","*");
$preparate = trim(str_replace($patern,"", strip_tags($preparate)));
if (!$preparate) return false;  // на момент написания нету возможности проверить, но проверка на пустую строку "" работает только так, ни isset ни empty не выдавали желаемый результат (данные брались из формы html)
/* city protect*/
$city = intval($_REQUEST['city']);
if(!preg_match("/^[1-9][0-9]*$/", $city)) return false;
/* category protect*/
$category=Array();
$category=join(',',$_REQUEST['category']);
//......................

if (empty($preparate)) return false; // вроде работает

if((!array_diff ( $_REQUEST['category'], array(1,2,3,4,5,6) ))==false) return false;
$category=Array();
$category=join(',',$_REQUEST['category']);
//вот так сделал для category - работает

	mysql_connect("localhost", "root", "") or die (mysql_error ());
	mysql_select_db("xxx") or die(mysql_error());
	mysql_set_charset( 'Utf8' ); 
	$preparate = "'".mysql_real_escape_string($preparate)."'";  
	if(($rs = mysql_query($strSql))===0) return false;
	else if(($num_rows =  mysql_num_rows($rs)) ===0) return false;
	else while($row = mysql_fetch_assoc($rs)){
echo '<tr>';
echo '<td>'.$row['x'].'</td></br>';
echo '</tr>';
}
	mysql_close();
{