PHP - ¿Sirve este código para evitar XSS y SQLi?

Buenas

Estoy intentando hacer que mi página no sea vulnerable, y programé el siguiente código para evitar ataques XSS e inyecciones:


Si en la busqueda se detecta algún comando extraño, lo notifica y se vacía la variable .
La función "corregir" quita otros caracteres extraños (por ejemplo "<" y ">", "/" "\") y demás

Soy novato en cuanto a seguridad en aplicaciones web y si tienen algun consejo estaría muy pero muy agradecido.

PD: El código funciona, es decir, si intento insertar alguna de las cadenas que aclaré en el condicional aparece la alerta y no busca nada. Pero quiero saber si me falta algo. Desde ya muchas gracias

consulta este link https://www.w3schools.com/php/func_string_strip_tags.asp
y este otro http://php.net/manual/es/function.strip-tags.php
y dese un tiempo para revisar este lnk http://php.net/manual/es/security.php

recuerda, entre mas informacion le des a un hacker mas facil haces su trabajo, asi que en mi opinion solo limpia el campo y pidelo de nuevo, o limpia el campo y pon "error" y es todo.

busca a Chema Alonso de España en youtube, o busca "seguridad web", encontraras bastantes aportaciones.

Muchas gracias Gonzalo,

tienes razón con que cuanta más información tiene el hacker más fácil hago su tarea; pero no sé si servirá para "asustarlos" ya que se notifica que cada intento de inyección o ataque de cualquier tipo se guarda en una base de datos externa (así también sé que intentaron hacer)

también estoy usando sentencias preparadas de mysqli

Muchas gracias por los artículos, voy a leerlos todos.

desafortunadamente, internet es 100% anonimo, de ahi el porque hay tanto hacker.

asi que eso de asustarlos ... la verdad no los asustas a menos que sea un novato y no sepa borrar los registros de acceso.