Он хочет например через str_replace() заменять в передаваемых гетом/постом запросах латинские буквы на русские, чтобы если ты передаешь гетом или постом что то типа "...script" оно менялось на русские буквы и не пахало.
Это не самый лутший вариант.

Но хочу повторить: здесь раздел для обсуждения УЯЗВИМОСТЕЙ, по поводу защиты пиши в кодинг.