Als ik jou was zou ik me nog wat meer verdiepen in de web applicatie problemen, want hier sla je de plank een paar keer flink mis. Onder code injectie worden niet injecties verstaan die client-side worden uitgevoerd (zoals html of javascript), maar juist injecties die server-side worden uitgevoerd (zoals php, java, enz). Prepared statements helpt alleen tegen SQL injection; niet tegen aanvallen als XSS, enz. Serialisation is iets anders dan schonen en haalt ook niks weg. Bij serialisation zet je karakters om in een andere notatie in de hoop dat het systeem waar het terecht komt snapt dat dit data is en niet uitvoerbare code. Ik gebruik hier bewust 'hoop', omdat het cruciaal is dat de goede methode wordt gebruikt voor de plek waar de data wordt gebruikt, omdat het anders niet of zelfs averechts werkt. Het daadwerkelijk opschonen van invoer (als in: weghalen van mogelijk kwalijke zaken) noemt men sanitatie. Veel belangrijker dan serialisatie en sanitatie is echter validatie wat inhoudt dat je controleert ...