XSS самый лучший вариант...С ним меньше мучатся придётся чем со sql-inj, да и не факт что она там вообще есть как подметил m0Hze...