$_SERVER['REMOTE_ADDR']はhtmlspecialcharsをしておくべきでしょうか?
ipはクライアント側で自由に文字列を書き換えられませんよね。