Дмитрий С

Но а как-же выключенный js ?

Рабочий способ, не всегда полезно быть перфекционистом. Ведь "лучшее", как известно - враг "хорошего".

"Тогда сервер будет определять по ip адресу и юзер агенту." - это чушь

Их воруют бандерлоги!

array("<", ">","="," (",")",";","/") - ну а если у Вас действительно на входе текст с кавычками и скобками?

Да и саму фильтрацию лучше делать перед выводом на страницу, дабы в БД хранились актуальные данные.

Проверьте кодировку самого файла, где задаётся текст письма.

Если не вдумываться в то, что же вам именно нужно от PHP файлов, то - AJAX для запросов к серверу из JS