ставь в скрипты в начале код:
error_reporting(0);
Это тебе все раскрытия и проблемы с куками закроет.
XSS фильтруется через htmlspecialchars();