Como Proteger mi script contra inyeccion SQL / XSS ?

[Triby]

Completamente inseguro, deberias verificar y validar cada dato que estas recibiendo.

Valores numericos:
$id = $_POST['id'] *1; // Multiplicar por 1
$id = intval($_POST['id']); // Forzar valores enteros
$id = float $_POST['id']; // Forzar punto flotante

Valores alfanumericos (cadenas y textos):
$id = strip_tags($_POST['id']); // Eliminar etiquetas html para minimizar riesgo de XSS

Antes de incluir cadenas en una consulta:
$id = mysql_real_escape_string($id); // Eliminar riesgos de inyeccion SQL

Adicionalmente debes validar cada campo:
Numericos: Si pueden ser cero, "menores que", "mayores que", etc.
Textos: Cadena vacia, longitud minima y maxima, tipo de caracteres permitidos, etc.