正在使用htmlspecialchar(）进行输入/输出HTML清理，因为MySQL数据库设计不好

可能重复：
什么是最好的PHP输入清理函数？

对于MySQL数据库，使用htmlspecialchar((进行输入/输出HTML清理是不是设计不好？

你应该不允许这些"危险"的标志，因为它仍然会显示b标签、i标签和其他标签吗？如何做到这一点？

我这么问是因为维基上写着http://en.wikipedia.org/wiki/HTML_sanitization

"HTML净化可以通过净化用户提交的任何HTML代码来防止跨站点脚本和SQL注入攻击。">

因此，除了使用PDO准备的语句，为了防止SQL注入，我还想对所有输入和输出使用这个htmlspecialchar。但也许我应该用别的东西？

例如，这是执行插入语句的好方法吗？：

$type= htmlspecialchars($_POST['animaltype']);
$name= htmlspecialchars($_POST['animalname']);
$age= htmlspecialchars($_POST['animalage']);        
$descr= htmlspecialchars($_POST['animaldescription']);
$foto= htmlspecialchars($_POST['animalfotourl']);
$date=htmlspecialchars($_POST['animalhomelessdate']);

$sqlquery  = "INSERT INTO animals_tbl(animaltype, animalname, animalage, animaldescription, animalfotourl, animalhomelesssince) VALUES (':type',':name',':age',':descr', ':foto', ':date')";

$stmt = $conn->prepare($sqlquery);
$stmt->bindParam(':type',$type, PDO::PARAM_STR);
$stmt->bindParam(':name',$name, PDO::PARAM_STR);
$stmt->bindParam(':age',$age, PDO::PARAM_INT);
$stmt->bindParam(':descr',$descr, PDO::PARAM_STR);
$stmt->bindParam(':foto',$foto, PDO::PARAM_STR);
$stmt->bindParam(':date',$date, PDO::PARAM_STR);
$stmt->execute();