モジュール作成時に間違えやすいサニタイズ

XOOPSのサニタイズクラスには、stripSlashesGPCとaddSlashesがありますが、
ともにmagic quotes gpcの値を見て、関数を通すか判断しています。

間違えの例：

$hoge = $myts->stripSlashesGPC($_POST['hoge']);
echo 'ポストデータ'.$myts->htmlSpecialChars($hoge);
$sql = "INSERT INTO table (text) VALUES ('".$myts->addSlashes($hoge)."')";

この例では、magic quotes gpcがoffであれば問題ありませんが、
magic quotes gpcがonの場合にはaddSlashesされませんので、SQL Injectionが可能になってしまいます。

正しい例：

$hoge = $_POST['hoge'];
echo 'ポストデータ'.$myts->htmlSpecialChars($myts->stripSlashesGPC($hoge));
$sql = "INSERT INTO table (text) VALUES ('".$myts->addSlashes($hoge)."')";

受取ったデータは表示の時にstripSlashesGPCとhtmlSpecialCharsを掛けて、DBに保存するときにaddSlashesします。
気持ち的には受取ったときにstripSlashesGPCして生データにしておきたいですが、このやり方の場合は間違いです。