Честно, для меня пока сложно сразу все фильтры и экранирование врубить, особенно где что надо ставить — в html, в атрибутах и так далее. Но слышал, что лучше не полагаться на один метод, а несколько раз проверять входные данные с разных сторон. Типа комбинировать фильтры и тщательно смотреть, что реально через форму летит. Пока сам так стараюсь делать, чтобы не было дыр.