Jain!
Gegen SQL Injections wurde mysql_real_escape_string() erfunden!!
Und damit es im Browser keinen Mist baut (XSS), gibts: htmlentities()+strip_tags()

urlencode() ist für urls gedacht! Und urldecode() kommt fast nie zum Einsatz, wozu auch..?
In Grenzen sind natürlich Zeitung und Toilettenpapier austauschbar. Aber das eine bereitet beim Lesen Probleme und das andere beim anderen.. ;)