Witam serdecznie!
Piszę drobny portal i chciałbym się Was trochę poradzić. Tworzę edycję ustawień profilu, czyli zmiana daty urodzenia, miejscowości itd.
Po wysłaniu formularza, jeśli mają to być liczby to sprawdzam przedziały, rzutuje typ. Czy przed wysłaniem tekstu do bazy danych wystarczy samo użycie mysql_real_escape_string?
Po pobraniu danych z bazy i wyświetleniem na stronie chciałbym użyć takiej funkcji: https://gist.github.com/mbijon/1098477
Czy jest ona w miarę bezpieczna i zabezpieczy przed XSS? Pozdrawiam.

Dodaj jeszcze

[PHP] pobierz, plaintext 
htmlspecialchars($zmienna)
[PHP] pobierz, plaintext 

A nie lepiej PDO?

ta funkcja którą podałeś w linku jest jak najbardziej dobrym zabezpieczeniem.

@mlawnik, jeśli autor umiałby wykorzystywać PDO to by nie zakładał tego wątku.

Dziękuje za odpowiedzi! Myślę o wdrożeniu PDO, ale na ten moment nie mam wystarczającej wiedzy na temat tego.

Ja nauczyłem się PDO w jeden dzień korzystając z tego i google:
http://www.phpro.org/tutorials/Introduction-to-PHP-PDO.html