XSS PHP输入/输出

关于XSS和PHP的问题。。。。。。

我正在构建一个PHP应用程序，所有输入都将通过客户端然后服务器端验证、使用filtervar进行净化。。。。。存储在数据库中的加密密码，如果我键入scripttag——不管怎样——脚本标记，它就会被存储在数据库里，不会对数据库造成任何伤害。

当直接输出输入时，XSS是否只是一种威胁，而使用htmlentities的唯一时间是在从用户输出输入数据时。

我的应用程序没有这样做，但有没有办法让潜在的攻击者注入一些恶意代码并导致其输出，即使我的编程逻辑不允许这样做。

我想覆盖所有基地。。。。。。。。。

期待您的回答。。。。。。。。。是的，我使用PDO准备的语句bindParam，执行以防止SQL注入，并将数据安全地存储在数据库中，我还使用：

 if(filter_var($_POST['firstname'], FILTER_SANITIZE_STRING)){
            $clean['firstname'] = $_POST['firstname'];
            };      

对于消毒，可以在上改进吗

我刚刚修复了代码，if语句阻止了过滤器var清除脚本标记，如下所示：

$clean =  array();
        $clean['firstname'] = (filter_var($_POST['firstname'],     FILTER_SANITIZE_STRING));

            $clean['lastname'] = (filter_var($_POST['lastname'], FILTER_SANITIZE_STRING));

            $clean['username'] = (filter_var($_POST['username'], FILTER_SANITIZE_STRING));  

现在脚本标记已不在数据库中。。。。。。。。。