POST is absoluut geen oplossing om XSS te voorkomen, ook mysql_real_escape_string gaat geen XSS tegen. Het is overigens wel belangrijk dat je mysql_real_escape_string gebruikt, maar dat heeft dan weer met sqlinjection te maken.
Strip_tags is een goede maatregel tegen XSS, maar heeft een belangrijk nadeel en dat is dat de tags gewoon volledig gewist worden.
Ik denk dat htmlentities is wat je zoekt dit zet speciale tekens om zodat ze geen betekenis meer hebben. Vergeet dat als je deze maatregel gebruikt je dit pas mag uitvoeren op het moment dat je de gegevens uit de database haalt en niet voordat je ze er in stopt. Heeft te maken met een mogelijk dubbele bewerking.
