スクリプトインジェクションを防ぐ10のTips

なぜPHPアプリにセキュリティホールが多いのか?:第11回 スクリプトインジェクションを防ぐ10のTips|gihyo.jp … 技術評論社

ユーザデータを出力する時は特に気を使います。

入力された文字にmb_check_encodingをして想定外の文字コードだった場合は弾く、というのはなかなか取り入れている方も少ないのでは、と思います。それは私です。気をつけましょう。