$name = mysql_real_escape_string($_GET['name']);
$detailModel = mysql_real_escape_string($_GET['detail_model']);
$city = mysql_real_escape_string($_GET['city']);
$sql = "SELECT `id`, `model`, `detal`, `data`, `prosmotry`, `gorod`, `oblast`" .
"FROM `auto` WHERE `detal` LIKE '%$name%'" .
($detailModel ? " AND `model` LIKE '%$detailModel%'" : "") .
($city ? " AND `gorod` LIKE '%$city%'" : "");
Использовал в примере mysql_real_escape_string, но этот метод устарел, используйте вместо этого подстановку параметров в mysql запрос, не забывайте о sql-инъекциях, иначе окажете себе и вашим пользователям медвежью услугу.