Используй htmlspecialchars() и strip_tags() на входящие данные.

http://ru2.php.net/strip_tags
http://ru2.php.net/htmlspecialchars