Короче никак не могу найти ответ на вопрос.
Решил задать
как при приеме post и get запросов в обработчике исключить возможность пхп инъекции
просто где-то слышал что в htmlspecialchars есть какая-та дырочка.