От писивной XSS частично защитит_)
от sqlinjection защищает mysql_real_escape_string()
частично?
Подробней
Эта функ фильтрует данные из-в бд, и при записи инф в бд, она спецсимволы перекодируе. То есть ты пишеш сообщение <script><Бла бла</script> и если не перекодировать < >, то при просмотре инф из бд, функ скрипт выполнится в теле страницы, а с фильтрацией выдаст как обычный текст_)
я фильтрую инфу, которая в бд идет)