Форум PHP

Здраствуйте.
юзер пишет коммент.
перед добавлением в базу я пишу так:

$mess = trim($mess);
$mess = htmlspecialchars(esc($mess)));

функция esc()
$st = str_replace("%", "\%", $st);
$st = str_replace("_", "\_", $st);
$st = mysql_escape_string($st);

Все. в базу добавил.
Перед выводом из базы делаю stripslashes текста.

Этого хватит чтоб обезопасить запрос и вывод от всяких внедрений скриптов типа XSS?

Я думаю что вполне!