La seguridad siempre debe de ir en la parte del servidor. Si también añades comprobaciones en la parte del cliente (Javascript) mejor, pero la del servidor es la importante.
Para evitar los XSS
Puedes utilizar la función htmlentities()
o htmlspecialchars()
cada vez que devuelvas un texto generado por el usuario (insertado por un usuario en alguna parte de la aplicación). Si el texto es generado por tí, y el usuario no lo puede cambiar obviamente no hace falta escaparlo.
También hay que tener en cuenta que no hace falta hacerlo en todos los campos. Si son numéricos o campos muy pequeños (<15 carácteres) no es necesario ya que no cabe un ataque.
Estas funciones lo que hacen es escapar los carácteres < y >, además de otros, que son los que pueden inyectar javascript en la web.
Para evitar el Cross-Site Request Forgery (CSRF)
En toda página que reciba parámetros (solamente por GET, ya que si recibe parámetros por POST tu script debería dar error porque le falta dicho parámetro) debes de comprobar el referer del navegador, y que este sea de dentro de tu web. En php el referer que envía el navegador se almacena en $_SERVER['HTTP_REFERER']
Sería tal como:
if( parse_url($_SERVER['HTTP_REFERER'], PHP_URL_HOST) != $_SERVER['HTTP_HOST']) die('Anti-CSRF');
NOTA IMPORTANTE
Con éste código estamos obligando a que el navegador envíe un referer si o sí. Por lo tanto sólo debe utilizarse en páginas a las que el navegador acceda desde otra página de nuestra web.
Obviamente no podemos colocarlo en la primera página a la que se accede a nuestra web (index.php o similar), ya que si el usuario a escrito la dirección a mano en la barra del navegador no se enviará referer ninguno y saltará el sistema.