>>952
DB周りについては以下の考えでいいのではなかろうか。
DBに渡すデータ
 ・データ中に ' や \ が含まれているとSQLエラーになるんで addslashes でエスケープ
 ・データ中にSQLが含まれていてもただのデータとして扱ってもらうように前後を ' で挟む
 ・データ中にHTMLタグが含まれていてもDB上のデータとしては別に問題ないので何もしない
DBから取り出したデータの扱い
 ・ブラウザに表示する際、HTMLタグが含まれているとまずいので htmlspecialchars でタグを除去