برای جلوگیری از نفوذ حتما ار توابع htmlentities و mysql_escape_string استفاده کافی رو ببرید و تمامی ورودی های کاربر رو با اونها چک کنید و به هیچ عنوان به ورودی کاربر اعتماد نکنید
اگر ورودی برای کاربر وجود داره این طوری درنظر بگیرید که حتما میخواد ازش برای نفوذ استفاده کنه