la funzione htmlentities() è utile contro XSS, mentre per Sql injection dai un occhio a mysql_real_escape_string()

Forse Per un motore di ricerca ti converrebbe utilizzare un framework già testato,.. però non conosco le dimensioni del tuo progetto..