Правильная ли защита от XSS и SQL?
раньше в PHP этот кусок "бесполезностей" был из коробки, назывался magic quotes.
1) от SQL иньекций спасает prepared statements
2) XSS надо фильтровать при выводе информации а не при вводе, ибо всеравно остается вероятность что-то упустить.
// Если все символы в строке - цифра
 // перевести в тип int
таким образом можно повредить строки из цифр с нулями в начале