ciao!
fondamentalmente dovresti impostare tramite PHP delle regole più restrittive, come per esempio:

1) impedire la scrittura di URL;
2) impedire la scrittura di @;
3) impedire la scrittura di entità HTML;
4) impedire la scrittura di caratteri di escape;
5) inserire un filtro, se non lo hai fatto, per le parole offensive;

ti consiglio di chiedere sul forum di php. qui infatti si ricade nella programmazione specifica del tuo linguaggio.