✔ str_replace und ein Backslash

[Gumbo]

Der Vorteile meines Vorschlags ist, dass eine POST-Anfrage auch kann erkannt wird, wenn kein Parameter übergeben wurde (denn dann bleibt $_POST einfach leer). Das kannst du ganz leicht selbst ausprobieren:

<?php
	var_dump($_SERVER['REQUEST_METHOD']=='POST');
	var_dump((bool)$_POST);
?>
<form action="" method="post">
<input type="submit">
</form>

Sitzungen bieten keinen Schutz was das Einschleusen von Schadcode betrifft. Deshalb heißt die Devise wohl eher: Vorsicht ist besser als Nachsicht.

Hochkommata sind bei sowas eigentlich immer besser.

Wenn keine besonderen Escape-Sequenzen benötigt werden, ist es eigentlich egal ob einfache oder doppelte Anführungszeichen.