Но перед записью эти данные нужно обработать
Зачем?
Безопасно записать в СУБД - это prepared statements. Никак калечить пользовательский ввод для этого не нужно.
Вывести в html - есть нативный htmlspecialchars.
А вот в upd верное направление мысли. Абсолютно неважно, откуда данные - единственно важно куда эти данные пойдут. И именно для этого может понадобится дополнительная обработка именно для этого выходного формата.
Отправка письма - plain text можно отправлять как есть. html - html и есть, всё тот же htmlspecialchars.
Куда-нибудь в csv - используйте нативные функции обработки csv. json - json_encode. И так далее. Для каждого формата свои требования к оформлению пользовательского ввода.