io rimango della convinzione che htmlspecialchars sia migliori per certi versi...

cmq non capisco il secondo problema... se la risposta è di una pagina di google qual'è il problema ? al massimo la xss starà su google e non sul tuo sito.