Lo que corresponde a un "SQL injection" puedes revisar este artículo sobre seguridad (trata ese tema y otros más):
http://phpsec.org/projects/guide/
El tema de evitar HTML .. en principio podrías dejar que inserten HTML en tu BBDD .. pero a la hora de presentarlo aplicas la función que te han comentado: htmlentities() .. por qué si realmente no quieres -nada- de posible HTML que te inserten en tus BBDD mejor quitas todo esos posibles tag's HTML que se identifican por qué están entre < y ... > con la función strip_tags()
Un saludo,