是否存在一种万能函数，可以很好地为SQL注入和XSS攻击清除用户输入，同时仍然允许某些类型的HTML标记?

如果用户输入未经修改就插入到SQL查询中，则应用程序很容易受到SQL注入的攻击，如下例所示：这是因为用户可以输入类似值的内容）；DROP TABLE表；--，并且查询变为：可以采取什么措施防止这种情况