Evitar XSS y SQLi en PHP: Funciones Predeterminadas

Muchas veces queremos evitar estas dos vulnerabilidades "tontas" pero nos complicamos con incomprencibles y largas funciones cuando php nos entrega la solucion por defecto.

evitaremos ambos problemas usando htmlspecialchars($variable,ENT_QUOTES) para mostrar texto y mysql_real_escape_string($variable para insertar)

algunos habran oide de strip_tags($variable) que quita las etiquetas html peeeeeeero para parsear esta funcion solo es necesario duplicar las etiquetas:

ej: <h1>Hola mundo cruel</h1>

lo mostraria como

Hola mundo cruel

Pero si ponemos

<h<h1>1>Hola mundo cruel</h</h1>1>

nos ejecutaria nuestro codigo.

No es el gran tutorial del año pero me parecio interesante decir esto para que lo tengan en cuenta cuando programen... Sin contar que hasta hace muy poco el primer resultado de la busqueda en google "como evitar xss" tenia xss ¬¬ ahora se evita el xss aunque matan el diseño en el proceso xD seguro copio y pego alguna funcion desde internet.

Un saludo, gracias por leer

Yo como programador, además de aplicar las funciones de PHP, me desarrollo mi propio de sistema de validación en el cual sólo permito lo que necesito, es decir, si pido "fecha", sólo serán validos números y el separador (/ o -), de resto elimino cualquier otro tipo de caracteres.

Pero bueno el dato, siempre hay que tomarlo en cuenta.

Un saludo.

es lo ideal, osea si pides un numero de telefono no tiene nada que hacer una letra estas funciones siempre sacaran de apuro, por lo menos hasta que las pase alguien.