sql-injection и htmlspecialchars?? Что?
Я еще в 2012 писал статью на эту тему ...