SQl инъекция. Правильно ли исправил?
Вопрос крайне абстрактный. Надо смотреть в код конкретно.
Для защиты от sql injection достаточно использовать PDO или mysqli_real_escape_string на все аргументы в запросах.
Для защиты от xss нужно фильтровать данные на выводе
Мне тут на форуме посоветовали использовать подготовленные запросы, это сносит на нет все проблемы с инъекциями.