Поковырялся, вот мои выводы:
проект рульный, но мыслей насчет того, что можно было бы доделать еще много)

К примеру, неплохо бы для фильтрации переменных заюзать phpInputFilter, от инклудов и скулей не спасет, зато от XSS ИМХО лучшей зашиты нету.

Еще, опять же, ИМХО лучше прогонять не все переменные за один раз, а по вызову пользователя, к примеру: класс JRequest из Joomla Framework.
В нем есть методы getVar и setVar, в которых происходит проверка и занесение переменных во внутренний кэш, дабы не проверять 2 раза. Таким образом, можно без лишнего неудобства все переменные в движке получать методом:
ИМХО удобно)