¿Es segura esta forma de autentificarse?

[foo]

que esa funcion solo sirve para determinados casos, pero no protege completamente de "ataques" xss, por ejm:

$url = limpiar_valor("javascript:alert('XSS')")
//...
echo '<a href="' . $url . '">Enlace</a>';