[devote]

Это в простом случае, может ведь бысть засрана и бд, причём хитрым образом).

БД не страшно (если конечно думать о правильном проге) там нет выполняющихся скриптов и все обычно эскейпиться перед отображением.