Databázi jsem schválně nezmiňoval, záleží co použiješ, jestli nějaké nativní dotazy z užitého jazaka nebo nějaký fw nebo něco z fw . . . Když už se tak ptáš, tak ti dím ještě i tip: Nestačí jenom prepared statements, ale taky musíš mít správně nastavený character a collate
Ale kde si myslíš, že se vezme ten "na výstupu šablonovací systém atd."? To je právě ono. Jeden jazyk to kontroluje tak a tam, jiný zase tu a támhle a frameworky to mají zpracované v těch šablonovacích systémech nějakým jazykem a zase jsi u toho - jediná důležitá věc je, že to musíš vědět a tak k tomu i přistupovat. Pokud ale začneš k PHP třeba přistupovat jako k Javě třeba, no tak se pak nediv, že ti zbude akorát kňourat po diskuzích . . .