[PHP]Zabezpieczenie aplikacji Opcje

[code46]

Wiem jak się bronić przed sql injection ale nie wiem jak się bronić przed wstrzykiwaniem kody js i innymi atakami tego typu. Wiem, że wszystkie dane pochodzące od użytkownika należy filtrować ale czy samo htmlspecialchars jest 100% skuteczne.
mysql_escape_string załatwia problem sql_injection a i tak ludzie robią psikusy autorom stron. Wiem także, że rodzajów ataków jest dużo ale jak się przed tym skutecznie bronić? Jak filtrować dane?

Mam aplikację w której trzeba się logować. Jak zrobić aby przeglądarka w ogóle nie zapisywała cache'a treści - inny użytkownik tego samego komputera nie powinien mieć dostępu do treści (nawet minimalnej trzymanej w cache) - nie da się wymusić na użytkownikach czyszczenia cache za każdym razem po wylogowaniu.