Самое простое — не выводить пользовательский ввод прямо на страницу без обработки. Токены в формах помогают не дать чужим запросам пройти, а экранирование — не дать скриптам запуститься. Ничего сверхъестественного, главное не забывать и делать регулярно.