多少安全措施才足够?——PHP

我目前正在处理我开始的个人业务的第二版。在第一个版本中，我遇到了用户sql注入和使用xss的问题。

现在事情变得有点严重了(大量的活动)，我花时间尽可能多地学习卫生，准备声明等，以增加我的项目的安全性。我知道没有100%的修复/安全系统来实现，我相信我实现了足够的保证足够的安全性，我只是想知道是否有更多的我能做的。

我使用PDO准备语句的所有数据库交互。

数据库交互将不再需要delete函数(用户在v1上删除表)

我使用PHP 5.5 password_hash作为密码

所有的输入和输出都是经过消毒的(阅读下面关于主题代码的各种意见)

    // Input Sanitation
    function input($input) {
        $input = trim($input);  
        $search = array(
            '@<script[^>]*?>.*?</script>@si',   // Strip out javascript
            '@<['/'!]*?[^<>]*?>@si',            // Strip out HTML tags
            '@<style[^>]*?>.*?</style>@siU',    // Strip style tags properly
            '@<!['s'S]*?--[ 't'n'r]*>@'         // Strip multi-line comments
        );
        if (get_magic_quotes_gpc()) {
            $input = stripslashes($input);
        }
        return preg_replace($search, '', $input);
    }
    // Html Sanitation
    function htmlInput($input) {
        $input = trim($input);  
        return strip_tags($input, '<p><b><i>');
    }
    // Output Sanitation
    function output($input) {
        return htmlspecialchars($input);
    }
    // Url Sanitation
    function url($input){
        $input = trim($input);  
        $input = strip_tags($input);
        $input = preg_replace('/[^A-Za-z0-9-]+/', '-', $input);
        $input = preg_replace("/['/'&%#'$]/", "_", $input);
        $input = preg_replace("/['"'']/", " ", $input);
        $output = strtolower($input);
        return $output;
    } 

我还没有决定去htmlpurifier由于大小。我希望在不牺牲安全性的情况下尽可能保持轻量级。

网站的一个特定部分的例子:票务系统用户需要能够通过ckeditor创建格式化的文本(允许标记

)我一直有消毒文本的问题，同时保持允许的标签，所以如果有人有一个解决方案，我很乐意听到它。

在此之外，我已经创建了各种检查，输入应该是数字通过is_numeric，登录表单是保护免受暴力尝试，我们将使用ssl登录，注册等(罪犯ip被记录和阻止一旦管理员决定这样做)，图像不能执行为php等，还有各种其他的东西，我添加了尝试保护网站。在我们重新开始之前，我只是想确保我没有忽略任何事情。

如果任何人有任何资源，我可以从中受益，我将非常感激。我四处看了看，我相信我所看到的一切都涵盖了。无论如何，提前感谢你的帮助。