PHP: что фильтровать в поле сообщения?

htmlspecialchars

А потом, если это на почту идёт - content-type: text/html прописать

к вышеперечисленному: почту проверять регэкспом, если боишся инъекции, то перед записью в базу сделать base64encode(как-то так, давно завязал с php). А перед выводом соответственно base64decode. Но если нагрузка большая - не стоит=)

Использовать PDO и в prepare писать запрос в котором реальные параметры заменять на что-то вроде :name, :email, :message

Потом в execute подставлять массив со значениями.

Спасибо всем за советы. База данных не используется. htmlspecialchars использую, просто хотел на всякий случай послушать еще мнения, так как не был уверен, что этого достаточно. ;)

можно еще вырезать "<script" регекспом, ибо нефиг :) ну или просто режектить форму.

phpfaq.ru прочитай полностью - пригодится

> можно еще вырезать "<script" регекспом, ибо нефиг :) ну или просто режектить форму.

Эту фразу можно написать и по другому ;)

От SQL-инъекций лучше по всему, что получаешь гетом или постом, пробегайся с помощью htmlspecialchars($data, ENT_QUOTES)

> Эту фразу можно написать и по другому ;)

завис на пару минут читая сие предложение... прям код чтоль нарисовать? о_о