Как проверять входные данные, чтобы нельзя было выполнить произвольный код?
Все что делается сначала, нужно для вывода, то что в конце для записи в базу. По нормальному, надо чистые данные писать в базу, делая эскейп, и при выводе делать замены для защиты от xss.
Например у нас форум, куча ббкодов или маркдаун, вставки кода, если сразу все применить, то на выходе придётся делать обратно конвертер, чтоб оно работало
На все входные данные - regex-фильтр: свой на каждый тип или переменную!
preg_match()