Вот закончил наконец движок цмс-ки, доволен блин как слов, потому как заняло много времени и нервов пока довёл всё до ума...ну не об этом...
На данный момент пытаюсь максимально обезопасить моё детище от злобных дядь.

Насчёт XSS. НА данный момент остановился на решении из Codeigniter(выдрал из игнитера и переделал под себя правда). Думаю это сойдёт.

Фильтрация от SQL injection- ов это естественно.

Проблемка в ддосах. На данный момент моё мнение таково- фиг защитишь на одном Пыхе.

1-я ступень(и наверное самая эфективная это) это

$load = function_exists( 'sys_getloadavg' )?sys_getloadavg():0;
 if ( $load[0] > 80 )
 {
    header("HTTP/1.1 503 Too busy, try again later");
    die("Server too busy. Please try again later.");
 }

.. поможет малесь снизить риск полной смерти машины и появления злого Ктулху

Далее подумал следить за запросами и ИП адресами.
Лог в файлах меня не устраивает, потому как системой и так сжираются огромные ресырсы(модули итд), которые правда кэшируются...

Решение было принято- хранение в shared memory. Диллема в том что эта штука далеко не на всех хостах включена...

Я в ступоре, мозг просит пива... Помогите чем можете товарищи, плз...