"push" er for arrays, men ajax takler egentlig bare strings, slik at det må gjøres om til en string før det sendes.
Dersom man bruker jQuery for eksempel, så gjøres det automagisk og array'er og objekter konverteres til form/urlencoded, men dersom man ikke bruker jQuery er nok det enkleste å konvertere til JSON før man sender.
Selve valideringen av data bør alltid gjøres på serversiden, det er derfor ikke viktig å ha noe lignende htmlspecialchars i javascript.