htmlspecialchars

htmlspecialcharsだけでは不十分。
よりセキュアに書くには、

htmlentities($p_string, ENT_QUOTES, 'UTF-8');

とする。