Sonderzeichen umwandeln HTML injection verhindern

Ein Beispiel für MySQL: anstatt

$abfrage = "SELECT spalte1  
            FROM tabelle
            WHERE spalte2 = '".$_POST['spalte2Wert']."'";  
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");  

sollte Folgendes verwendet werden:

$abfrage = "SELECT spalte1  
            FROM tabelle
            WHERE spalte2 = '".mysql_real_escape_string($_POST['spalte2Wert'])."'";  
$query = mysql_query($abfrage) or die("Datenbankabfrage ist fehlgeschlagen!");  

$nachricht=htmlspecialchars($_POST('nachricht'));  

<?php session_start(); ?>
<?php 
  // Datenbankverbindung
  //---------------------------------------------------				  
  //MIT DEM MySQL SERVER VERBINDEN
  
	$mysqluser = "...";		  
	$mysqlpasswd = "...";			  
	$mysqlhost = "localhost";  
	$db_name = "...";	  

	$connID = @mysql_connect($mysqlhost, $mysqluser, $mysqlpasswd) or die("Verbindungsversuch fehlgeschlagen");  
         mysql_query("USE $db_name");  
           
?>
<?php
$empfaenger = 'test@....de';  
$hidden		= $_POST['hidden'];  
$name   	= $_POST['name'];  
$email      = $_POST['email'];  
$betreff    = $_POST['betreff'];  
$nachricht 	= $_POST['nachricht'];  

if(isset($_POST['abschicken']))  
{
	if($_SESSION["hidden_alt"] != $_POST["hidden"])  
	{
		$_SESSION["hidden_alt"] = $_POST["hidden"];  
		if(strlen($_POST['name'])>=2)  
		{	
				if(strlen($_POST['betreff'])>=4)  
				{
					if(strlen($_POST['nachricht'])>=10)  
					{
                                             mail($empfaenger, $betreff, $nachricht, "From: $name <$email>")  
                                             or die("Die Mail konnte nicht versendet werden.<br>");  
                                             header("Location: kontakt.php");  
                                             exit;	
					}
					else
					{
					$fehler_nachricht = "<font color=red>Sie haben keine Nachricht verfasst.</font><br>";  
					}	
				}
				else
				{
				$fehler_betreff = "<font color=red>Geben sie den Betreff Ihrer Nachricht ein.</font><br>";  
		}
		else
		{
		$fehler_name = "<font color=red>Geben sie ihren Namen ein.</font><br>";  
		}	
	}
}
?>

<form name="kontakt" method="post" action="kontakt.php" />  
<b>Name &nbsp;</b>
<input type="text" name="name" />  
<b>E-mail &nbsp;</b>
<input type="text" name="email" />  
<b>Betreff &nbsp;</b>
<input type="text" name="betreff" />  
<b>Nachricht &nbsp;</b>
<textarea class="textfeldkontakt" name="nachricht" cols="10" rows="5"></textarea>  
<input type="submit" name="abschicken" value="Abschicken" />&nbsp;  
<input type="reset" name="zuruecksetzen" value="Zur&uuml;cksetzen" />  
<input name="hidden" type="hidden" value="<?= uniqid(""); ?>">  
</form>

$such = array("\","/","<",">",....);    //alle zeichen die in die Eingabe net hingehören  
$ersetzung = "";  
preg_replace($such, $ersetzung, $eingabe);

if(strpos($eingabe, "\") || strpos($eingabe, "/") || und so weiter)  
{
  nicht weiterverarbeiten...
}
else
{
  weiterverarbeiten...
}