>[оверквотинг удален]
> Вчера обнаружил на моем сайте вставленную пользователем строку через $_POST:
> <script>alert(123)</script>
> Начал искать статьи по валидации пользовательского ввода и все, что я нашел,
> это:
> mysql_real_escape_string
> как способ защиты от MySQL инъекций.
> Где и что еще можно почитать о методах защиты сайта от подобного
> рода пользовательского ввода?
> Спасибо.
> Алексей

А проверять на уровне приложения введенные пользователем данные не пробовали? Чтоб он элементарно не ввел слово туда, где надо писать числа и т.д.

Смотрите HtmlSpecialChars()