Hola gente..
Para evitar un XSS permanente en mi web, imprimo lo siguiente:

echo "<input name='idd' type='hidden' value='".(int)htmlspecialchars($row['id'])."' />";

Como veran, digo que será un INT el dato, y tambien le digo que aplique el htmlspecialchars..
Capaz que esté al pedo el htmlspecialchars en ese caso.. o no?? total imprimira el valor solamente si es un numero.. o me equivoco?

Claro..
Entonces me das la razon o no?

O sea... ese dato que ingresa, es un ID.. y ese ID es un numero.. y tiene que ser solamente un numero..
De esa forma evito cualquier tipo de XSS..mporque va a imprimir solamente numeros