Tenho o PHP configurado para que as aspas mágicas estejam ativadas e os registradores globais desativado

Faço o possível para sempre chamar htmlentities () para qualquer coisa que eu esteja produzindo derivada da entrada do usuári

Ocasionalmente, também busco no meu banco de dados coisas comuns usadas em xss anexadas, como ...

<script

O que mais devo fazer e como posso garantir que as coisas que estou tentando fazer sejamsempr feito